在基于令牌的身份验证中使用 Refesh 令牌是否安全？

Question

我正在构建一个基于令牌的身份验证(Node.js使用带有angular客户端的passport/JWT)。

用户输入凭证后，他将获得一个访问令牌，并在头中的每个请求中发送该令牌（头：bearer token）。

我不想每次他的访问令牌过期时都提示登录请求（我猜大约每天），我听说过刷新令牌。刷新令牌永不过期（或很少过期），并且能够无限期续订令牌。当访问令牌即将过期时，客户端可以通过发送刷新令牌来发送续订请求以获取新的访问令牌。

我不明白一些事情，我可能会错过一些东西:

>

长期/永不过期的刷新令牌如何不会破坏具有短期访问令牌的安全性。

饼干可以被偷走并使用到过期。令牌寿命很短，因此更安全，但如果我提供一个长期刷新令牌，我就失去了使用令牌的优势。

注意：我知道刷新令牌是在初始登录时发送的，因此不能在每个请求中被欺骗，但如果它们在初始请求中被欺骗，它们就容易受到攻击。

Answer 1

我使用以下方法：

表/索引：

< li >用户表(只有用户id和所有与用户相关的元数据) < li>JWT表(三个字段:用户id、访问令牌、刷新令牌)

认证流程

1.当以前未经身份验证的用户登录时，颁发一个包含访问令牌和刷新令牌的JWT。更新JWT表中的刷新令牌以及user_id和访问令牌。

2.确保 JWT 的过期时间对您的用户来说很小/很舒服。通常不到一个小时。

4.当客户用JWT发出请求时

a、 检查访问令牌的有效期。如果令牌尚未过期-

b.如果访问令牌已过期，请在JWT表中查找user_id，并检查刷新令牌和访问令牌是否匹配，无论客户端提供了什么，

如果是，则发出带有响应的新JWT，并将新的刷新令牌、访问令牌更新到JWT表中。

如果否，则返回 401。客户端被迫要求用户然后登录。

结束。

总之，

1.DB调用仅用于检查刷新令牌是否有效。

2.该系统允许用户使用任意数量的JWT从任意数量的设备登录

3.通过从JWT表中擦除与该用户相关的刷新令牌，所有与用户相关的JWT都可以失效，这可以做到，例如：当用户更改他/她的密码时。这实际上缩小了访问令牌/JWT的到期时间的妥协窗口。

我相信这就是JWT背后的意图。数据库调用/用户的百分比取决于您的到期时间、用户通常在您的网站上的持续时间等。

Answer 2

刷新令牌呈现在与访问令牌不同的路径上:访问令牌仅呈现给资源服务器，刷新令牌仅呈现给授权服务器。访问令牌可以是自包含的，因此它不需要对授权服务器进行昂贵的调用来检查其有效性，但是为了减少损失和增加准确性(在出错的情况下它不能被撤销),它是短暂的。刷新令牌是长期存在的，并且在每次调用授权服务器时都会得到验证，因此它可以被撤销。两者的结合使系统变得安全。