Token 吊销：离职员工立刻失效

团队里有人离职，最容易被忽略的一件事，就是他手里的访问令牌还活着。很多系统用 JWT 做登录态，只要 token 没过期，人走了账号照样能进。这种隐患平时不显，出事就是数据层面的。

我一般会先用本地 JWT 解码把 token 拆开看，重点看两样东西：过期时间 exp 和里面带的权限字段。不用把密钥传出去，在自己电脑上解析，就能搞清楚这张令牌到底能访问什么、什么时候才失效。

光看不够，真正让离职账号立刻失效，得靠服务端的吊销清单。解码是帮你看清风险点，吊销才是动作。把要作废的 token 标识加进黑名单，下次请求一来就被拦下，人走权收才落到实处。

整个排查过程我都在本地做，令牌原文不上传任何网站。JWT 里往往带着用户标识甚至角色信息，属于敏感凭据，能在本机看就别往第三方工具里贴，省得密钥在别处留了副本。

这件事最好别等离职那天才想起来，平时就定个流程：权限变动先解码确认范围，再走吊销。本地解码零成本、不联网，把它当成权限体检的常规一步，账号安全会稳很多。