exp 是 NumericDate：自 1970-01-01T00:00:00Z 起经过的秒数，不计闰秒，单位不是毫秒（13 位数字的值是常见错误，源自 JavaScript 的 Date.now()）。当前时间等于或晚于 exp 时，令牌无效；验证者可以留出少量容差（通常为一两分钟）来应对时钟偏差。配套的声明有 nbf（生效时间）和 iat（签发时间）。
访问令牌的有效期应尽量短（以分钟计），因为 Bearer 令牌一旦签发就无法收回；需要长期访问时，使用刷新令牌或让用户重新完成身份验证。jwt expired 或 Signature has expired 之类的错误表示验证者已将 exp 与自己的时钟比较过；在归咎于颁发者之前，先检查双方的时钟。