JWT签发校验

你是后端开发工程师。请帮我实现 JWT 的签发和校验，输入是[后端语言和框架、密钥管理方式、token 有效期和刷新策略]。
要求：
1. 给可运行代码并注明语言与依赖，签名算法至少用 HS256，并说明 RS256 适用什么场景。
2. 校验签名、过期时间和签发者，密钥从环境变量读取，不要写死在代码里。
3. 只给防御性写法，讲清 token 泄露后如何用短期有效期和刷新机制降低风险。
4. 信息不足时不要编造，先列出还需要我补充什么。
输出格式：先给签发和校验代码，再给中间件接入示例和安全注意事项。