運維人員有代碼的權限，也有配置文件讀寫的權限。所以，任何想通過算法來規避運維人員手動生成jwt串的方法都無效。因爲運維人員可以拿現成的你的代碼生成一遍jwt串，無論你的代碼寫得多難理解；即使你生成了jar包，沒上傳代碼，運維人員仍然可以通過你的jar包的api來生成一遍jwt串，而不需要知道任何的實現細節。
所以，唯一的確保jwt不泄漏的方法就是管理制度，也就是：誰管服務器，誰知道加密密鑰，誰對密鑰的泄漏負責。
所以，一旦負責服務器運維的人員離職，就需要新的運維人員馬上對線上環境的加密密鑰做修改和服務重啓。
切記切記。