3种JWT验证和续签的策略

3 种JWT验证和续签的策略

好文推荐:一文教你搞定所有前端鉴权与后端鉴权方案,让你不再迷惘 - 掘金 (juejin.cn)

3 种jwt 验证的策略

  1. 通过解析去验证:每次访问api时parse jwt 判断是否vaild
  • jwt有效

    • 正常调用api
  • jwt无效

    • 返回401

缺点:token只有过期才会失效。就算用户退出登录,token仍是有效的。(除非token过期时间很短)

  1. 在解析的基础上,添加多一层存储层(这里用redis)的判断:每次访问api时parse jwt 判断是否vaild,然后再看redis中是否存在该token。

用户退出登录的时候,需要使token失效(也就是,delete redis中的token);

  1. 不解析 (目的是更快地判断jwt是否有效):将生成的token作为key(value可以是它的具体过期时间(用于refresh))存储在redis中,用户访问时,只要redis中存在该token就放行。用户login后需要同时存<uid,token>和<token,refreshTime>,因为需要去使token失效。
    • 为什么要存多个<uid,token>?
    • 假如一个坏人拿到了用户的token去续签,然后用户那个旧token是会被删掉的,然后用户登录的时候,因为token过期,就需要他重新登录,这个时候是需要将坏人续签的token在redis中删去的,如果只有token为key的键值对,我就找不到它并把它删掉。因此登录的时候存多一个<uid,token>就可以通过用户请求登录时候携带的uid去redis中获取到那个坏人续签的token值并删掉,这样起到一个顶替掉坏人的作用。

在redis中的过期时间设置为同jwt过期时间一样。

用户退出登录以及重新登录的时候,需要使旧token失效(也就是,delete redis中的<uid,token>和<token,refreshTime>)

第三种如图:

3 种jwt续签的策略

  1. 后端提供refresh token的接口,然后让前端自己调用refresh token的接口。用户login后返回token时,携带token应该refresh的时间戳。

  2. 用户login后,同时生成token和refresh token(过期时间很长)并一起返回给用户,由前端完成携带token的逻辑。

  3. 后端在验证jwt有效性后,判断如果快过期了,则生成refresh token,将redis中旧的jwt删去,将新的jwt放入redis,并与前端协商好状态码再返回,然后前端再用新的token重新发起原请求。

相关推荐
陈敬雷-充电了么-CEO兼CTO9 分钟前
推荐算法系统系列>推荐数据仓库集市的ETL数据处理
大数据·数据库·数据仓库·数据挖掘·数据分析·etl·推荐算法
MeshddY12 分钟前
(超详细)数据库项目初体验:使用C语言连接数据库完成短地址服务(本地运行版)
c语言·数据库·单片机
wuxinyan12312 分钟前
Java面试题033:一文深入了解MySQL(5)
java·数据库·mysql·面试
萧曵 丶1 小时前
Spring @TransactionalEventListener
java·数据库·spring·事务·transactional·异步
胡斌附体1 小时前
mobaxterm终端sqlplus乱码问题解决
数据库·乱码·sqlplus·字符集设置
moon66sun1 小时前
开源项目XYZ.ESB:数据库到数据库(DB->DB)集成
数据库·esb
TDengine (老段)1 小时前
使用 StatsD 向 TDengine 写入
java·大数据·数据库·时序数据库·iot·tdengine·涛思数据
DarkAthena1 小时前
【GaussDB】深度解析:创建存储过程卡死且无法Kill会话的疑难排查
数据库·gaussdb
Gauss松鼠会1 小时前
GaussDB权限管理:从RBAC到精细化控制的企业级安全实践
大数据·数据库·安全·database·gaussdb
时序数据说2 小时前
时序数据库IoTDB用户自定义函数(UDF)使用指南
大数据·数据库·物联网·开源·时序数据库·iotdb