在Spring Boot REST API中注销时使JWT令牌过期

Question

当用户单击注销按钮时，如何使JWT令牌无效？我做了一些研究，但没有找到任何好的实现。

Answer 1

在@RonOhRob的同一行中，我建议使用＜code＞jti＜/code＞（JWT ID）声明。该声明为JWT提供了唯一标识符。

您的JWT有效载荷如下：

{
    "iss": "example.com",
    "iat": "1300819080",
    "exp": "1300819380",
    "jti": "123e4567-e89b-42d3-a456-556642440000",
    "username": "mneri"
}

当JWT手动过期时，将jti插入黑名单。该值应保留在表中，直到令牌自然到期。现在，对于每个请求，还应该检查表中是否存在＜code＞jti＜/code＞；如果发现，访问将被拒绝。

如果用户想要使他的所有令牌过期，还有另一种涉及 iat（发行时间）声明的简单策略：将deny_before字段添加到用户表并注册expire_all API 调用的日期。和以前一样，您必须为每个请求添加检查。

要获得有关如何将JWT集成到Spring的完整参考，请查看JavaBrain的视频。视频中的家伙正在使用jjwt，但我建议使用aust0的java-jwt库，根据我的口味，它提供了更好的界面：

java prettyprint-override">JWT.create()
   .withJWTId(UUID.randomUUID().toString())
   .withIssuer(ISSUER)
   .withIssuedAt(issueDate)
   .withExpiresAt(expireDate)
   .withClaim("username", user.getUsername())
   .sign(Algorithm.HMAC256("secret"));

现在，在您的< code>JWTFilter中:

JWTVerifier verifier = JWT.require(ALGORITHM).withIssuer(ISSUER).build();
DecodedJWT decoded = verifier.verify(jwt);

if (blacklistService.find(jwt.getId())) {
    throw new JWTVerificationException();
}

User user = userService.loadByUsername(jwt.getClaim("username").asString());

if (user.getDenyBefore() != null && user.getDenyBefore().compareTo(jwt.getIssuedAt()) > 0) {
    throw new JWTValidationException();
}

Answer 2

一个选项是只使用bannedUsers表。你甚至可以缓存这个表。如果用户帐户受到威胁，您可以将其添加到表中，直到其令牌过期。每次都会进行一次查找（除非缓存），但表上很可能总是有0条记录，所以速度会很快。

Answer 3

你找不到任何方法来“终止”< code>JWT，因为没有这样的方法。我们可以说这是《JWT》的一个缺点。

如果令牌被泄露，那么这是一个大问题。如果需要使令牌/会话失效，则可能需要考虑其他身份验证机制。

使这种令牌“无效”的唯一方法是在后端使用其他< code>secret密钥——这显然是一个非常糟糕的主意！

但是，如果您正在寻找一种在前端“注销”用户的方法，只需从存储中清除JWT。（尽管如此，如果该用户复制了令牌，他将能够针对rest api执行请求）。