带有过期JWT刷新令牌的滑动窗口

Question

null

我目前拥有的是以下内容：当密码哈希和用户名在数据库中匹配时，刷新令牌endpoint生成一个JWT。每个刷新令牌都有一个存储在数据库中的jti，以及过期（仅用于DB清理）、device_id和一个revoked标志。可以使用refresh令牌命中另一个endpoint，该令牌返回一个JWT访问令牌。访问令牌的有效期为15分钟。无法吊销访问令牌。

我的问题出现在需求1上。我不希望用户在与网站交互时重新验证。这意味着我需要刷新令牌。然而，刷新令牌必须仅在例如上次用户交互+xx分钟内有效。我不能对每个请求都扩展访问令牌，因为没有办法将访问令牌列入黑名单。这将意味着泄露的访问令牌就像是一个永远的主密钥（只要您以15分钟的间隔不断地访问api）。但我也不知道请求令牌的过期时间。

第二个问题是（2）具有隐姓埋名的模式或多个设备。假设用户打开了20个私人选项卡，并在所有选项卡上使用remember me。然后我得在数据库中存储20个令牌。当然，我可以将类型“web”设置为5的限制，将“app”设置为3的限制，并从数据库中删除最旧的、最后访问的类型（因此使其无效）。但如果他在某个地方打开5个私人标签，这将使他退出“主”浏览器。它还将把电话的数量限制在2部。

1. 如何将刷新令牌存储在数据库中，以便最终用户可以识别它们（例如Whatsapp webs“Safari started in New York last used at xxx-xxx-xxx”
2. 如何避免DB中每个用户有数百个令牌（因为刷新令牌基本上永远不会过期，用户可以在不注销的情况下打开任意多个专用选项卡）
3. 如何使用刷新/访问令牌模式实现滑动窗口？因此在客户端上没有无限刷新令牌,但在访问令牌过期后,只要有任何使用,也不会注销。我可以将它放在会话存储中，但它仍然会使我的数据库混乱，并向用户显示为“当前登录”（显示所有刷新令牌），因为它基本上仍然有效。

Answer 1

网站上的滑动会话。这意味着如果用户在最近xx分钟内与网站进行了交互，则不得将其注销

为了解决这个问题，您可以使用刷新令牌，即当用户第一次登录时，应用程序将返回一个访问令牌（JWT格式），其过期日期设置为您想要的数量。当用户浏览应用程序时，您的后端将返回一个X-Refresh-Token标头，该标头在您的xx时间内有效（即，您需要为每个后端调用返回该标头）。

如果访问令牌过期（后端将读取所使用的访问令牌，并对过期日期令牌字段执行检查），后端将返回401未授权错误，您的客户端必须调用身份验证endpoint，提供存储的最后一个刷新令牌，以发出新的访问令牌。

在网站上记住我。选中此选项时，用户不得注销（或在很长时间后）

要解决这个问题，您只需要生成一个长期有效的访问令牌（即，将过期日期设置为所需的时间量）。

用户不得在应用程序上注销