用过 Java Sa-Token 的应该懂那种感觉——登录就一行，踢人就一行，多端、权限、二级认证全都有，不用自己拼中间件。
Node.js 这边一直缺这个，所以我造了 **xlt-token**。
**核心能解决什么问题：**
- 不只是 JWT 签发，是完整的 token 生命周期：登录 / 登出 / 续签 / 踢人 / 顶号
- 多端登录按设备独立管理，可以配置互踢还是共存
- 声明式装饰器：`@XltCheckPermission('order:read')`、`@XltCheckSafe('pay')` 直接往 Controller 上贴
- 有状态 JWT 模式：JWT 签发 + Store 撤销，解决 JWT 无法作废的经典问题
- 下线原因追溯：token 失效时能查是主动登出、被踢，还是被顶号
**测试：294 个用例，core 覆盖率 98%+，是认真做的。**
目前 v1.0.0-rc.2，API 已稳定。
GitHub：
github.com文档：
xiaolangtou.github.io欢迎试用，有想法或者 bug 直接开 issue～