jwt的无感刷新

jwt无感刷新

如果没有引入额外的刷新机制，JWT 过期后后续请求就会因验证失败而拒绝，导致用户需要重新登录，从而被"强制下线"。为实现无感刷新，可以考虑以下几种方案：

1. 引入 Refresh Token

   • 双 token 机制：客户端除了存储短生命周期的 JWT 外，还存储一个长期有效的 Refresh Token（通常存储在 HttpOnly Cookie 中）。当 JWT 过期时，客户端可以自动调用刷新接口，使用 Refresh Token 换取新的 JWT，从而实现无感刷新。

   • 后端校验：刷新接口会先校验 Refresh Token 的有效性，再生成新的 JWT，同时更新 Redis 中的映射，确保双重验证。

2. 滑动过期时间（Sliding Expiration）

   • 原理：在用户每次请求时检测 JWT 的剩余有效期，如果快要过期，则自动生成新的 JWT，并更新 Redis 中的对应记录。

   • 实现：这种方式要求在中间件层拦截每个请求，判断 token 的剩余有效期，并在接近过期时返回一个新的 token，让客户端自动替换旧的 token，从而延长在线状态。

3. 自动刷新机制的客户端实现

   • 拦截器处理：客户端可以设置请求拦截器，当发现服务端因 token 过期返回特定错误码时，自动调用刷新接口获取新的 token，并重试原请求。

   • 无感知体验：这种方式能让用户在不察觉的情况下获得新的 JWT，而无需重新登录。

总之，如果不做额外处理，JWT 过期后会导致用户"下线"。实现无感刷新主要依赖于设计一个刷新机制（通常是 Refresh Token 方案）或采用滑动过期策略，让服务端和客户端协同工作，在 token 过期前自动更新 token，确保用户体验的连续性。