如何立即撤销特定用户的jwt访问令牌？

Question

我有短过期（5分钟）的访问令牌和刷新令牌。

如何立即撤销特定用户的访问令牌？

例如，如果我想禁止某个用户？我点击了禁止按钮，现在我想立即撤销他的访问令牌。我不想等待令牌到期。

我需要以某种方式创建令牌黑名单，但如果我不知道特定用户的访问令牌，如何将其添加到黑名单？

我应该将所有 jwt 令牌存储在数据库还是 redis 中？代码示例将非常有帮助。

非常感谢。

Answer 1

我不认为有一个库可以帮助您立即使签名令牌无效。但是，是的，您可以将它们列入数据库的白名单，例如PostgreSQL或MongoDB。但是，由于性能问题，最好将它们存储在Redis中。当refresh_token被签名时，然后将其设置为Redis。在refresh_tokenendpoint中，您验证并使用refresh_token颁发新的访问令牌，检查数据库中是否存在refresh_token。如果没有，则无效。

但是如何撤销它们，或者从数据库中删除它们，使它们无效呢？创建注销终结点，从数据库中删除refresh_token。

仅供参考：我发现在将JWT存储在数据库中之前对其进行散列是一种很好的做法，然后进行比较，诸如此类。这样更安全，因为任何有权访问数据库的人（在这种情况下是Redis）都可以使用已经有效的refresh_token。