3种JWT验证和续签的策略

3 种JWT验证和续签的策略

好文推荐:一文教你搞定所有前端鉴权与后端鉴权方案,让你不再迷惘 - 掘金 (juejin.cn)

3 种jwt 验证的策略

  1. 通过解析去验证:每次访问api时parse jwt 判断是否vaild
  • jwt有效

    • 正常调用api
  • jwt无效

    • 返回401

缺点:token只有过期才会失效。就算用户退出登录,token仍是有效的。(除非token过期时间很短)

  1. 在解析的基础上,添加多一层存储层(这里用redis)的判断:每次访问api时parse jwt 判断是否vaild,然后再看redis中是否存在该token。

用户退出登录的时候,需要使token失效(也就是,delete redis中的token);

  1. 不解析 (目的是更快地判断jwt是否有效):将生成的token作为key(value可以是它的具体过期时间(用于refresh))存储在redis中,用户访问时,只要redis中存在该token就放行。用户login后需要同时存<uid,token>和<token,refreshTime>,因为需要去使token失效。
    • 为什么要存多个<uid,token>?
    • 假如一个坏人拿到了用户的token去续签,然后用户那个旧token是会被删掉的,然后用户登录的时候,因为token过期,就需要他重新登录,这个时候是需要将坏人续签的token在redis中删去的,如果只有token为key的键值对,我就找不到它并把它删掉。因此登录的时候存多一个<uid,token>就可以通过用户请求登录时候携带的uid去redis中获取到那个坏人续签的token值并删掉,这样起到一个顶替掉坏人的作用。

在redis中的过期时间设置为同jwt过期时间一样。

用户退出登录以及重新登录的时候,需要使旧token失效(也就是,delete redis中的<uid,token>和<token,refreshTime>)

第三种如图:

3 种jwt续签的策略

  1. 后端提供refresh token的接口,然后让前端自己调用refresh token的接口。用户login后返回token时,携带token应该refresh的时间戳。

  2. 用户login后,同时生成token和refresh token(过期时间很长)并一起返回给用户,由前端完成携带token的逻辑。

  3. 后端在验证jwt有效性后,判断如果快过期了,则生成refresh token,将redis中旧的jwt删去,将新的jwt放入redis,并与前端协商好状态码再返回,然后前端再用新的token重新发起原请求。

相关推荐
daixin88484 分钟前
Redis过期数据的删除策略是什么?有哪些?
数据库·redis·缓存
陪我一起学编程37 分钟前
MySQL创建普通用户并为其分配相关权限的操作步骤
开发语言·数据库·后端·mysql·oracle
Albert Tan1 小时前
ORACLE DATABASE 23AI+Apex+ORDS -纯享版
数据库·oracle
程序员编程指南1 小时前
Qt OpenGL 集成:开发 3D 图形应用
c语言·数据库·c++·qt·3d
婪苏(Python学习ing)2 小时前
MySQL 与 Redis 基础入门:从安装到核心操作
数据库
幻灭行度3 小时前
通过redis_exporter监控redis cluster
数据库·redis·缓存
Wang's Blog3 小时前
Nestjs框架: 基于Mongodb的多租户功能集成和优化
数据库·mongodb·多租户
Edingbrugh.南空4 小时前
Aerospike架构深度解析:打造web级分布式应用的理想数据库
数据库·架构
Cxzzzzzzzzzz5 小时前
数据库索引详解:原理、设计原则与应用场景
数据库·mysql
Alla T5 小时前
【通识】数据库
数据库·oracle