解释 Node.js 中 JWT (JSON Web Token) 的认证和授权机制，以及如何实现 Token 的刷新和撤销。

各位观众老爷们，晚上好！我是你们的老朋友，专门来给大家讲点儿干货的。今天咱们聊聊 Node.js 里面 JWT 这玩意儿，以及怎么让它乖乖地帮你搞定认证和授权，顺带解决 Token 刷新和撤销的问题。

准备好了吗？咱们这就开始了！

一、JWT 是个啥？为啥要用它？

想象一下，你开了一家豪华酒店，客人来入住，你得知道谁是VIP，谁是普通客人，谁是压根没预定的想混进来的。传统的做法是，每次客人想用酒店服务（比如点餐、用健身房），你都要查一下他/她的身份。这多麻烦！

JWT 就好比你给每个客人发了一张房卡，这张卡上写明了客人的身份信息、权限等等。客人拿着这张卡，就可以直接去享受酒店的服务，不需要每次都跑来前台验证身份。酒店的服务员（你的后端服务器）只需要验证一下这张卡是不是真的、有没有过期就行了。

所以，JWT 是一种基于 JSON 的开放标准 (RFC 7519)，它定义了一种紧凑且自包含的方式，用于在各方之间安全地传输信息作为 JSON 对象。这个 JSON 对象可以被验证和信任，因为它是经过数字签名的。

简单来说，JWT 就是一个包含信息的、经过加密的字符串，用于身份验证和授权。

为啥要用 JWT 呢？

• 无状态 (Stateless)： 服务器不需要保存 Session 信息，减轻服务器压力。
• 可扩展性 (Scalability)： 由于无状态，更容易进行横向扩展。
• 跨域 (Cross-Domai