Laravel Tymon\JWT Auth：验证前检查未完成的有效令牌？

Question

我正在尝试使用Tymon的JWTAuth在Laravel5.5中实现基于令牌的身份验证。我遵循了该库的GitHub文档，并使用以下身份验证流。以下是我的登录路径的身份验证部分：

try {

    // attempt to verify the credentials and create a token for the user
    if (!$token = JWTAuth::attempt($credentials)) {
        return response()->json(['success' => false, 'error' => 'Invalid Credentials. Please make sure you entered the right information and you have verified your email address.'], 401);
    }

} 

catch (JWTException $e) {
    // something went wrong whilst attempting to encode the token
    return response()->json(['success' => false, 'error' => 'could_not_create_token'], 500);
}

// all good so return the token
return response()->json(['success' => true, 'data'=> [ 'token' => $token ]]);

以下是路线：

Route::group([

    'middleware' => ['jwt.auth', 'jwt.refresh'],

    ], 

    function () {

        // Routes requiring authentication
        Route::get('/logout', 'Auth\LoginController@logout');
        Route::get('/protected', function() {
            return 'This is a protected page. You must be logged in to see it.';
    });

});

您可以看到我正在使用jwt.auth和jwt.refresh中间件。现在，一切似乎都按预期运行，我可以用令牌验证用户。每个令牌都有一个使用寿命，在每个请求（刷新流）之后，我会获得另一个有效令牌。

但是，我的问题是，如果我有一个尚未使用的用户的有效令牌，然后我将其从标头中删除，并使用有效凭据点击/login路由，我将获得另一个有效令牌。因此，现在我有两个有效的令牌可以用来验证用户，因为我的/login路由不会使以前发布的令牌失效。

是否有人知道一种检查用户是否有未完成的有效令牌的方法，以便在用户从其他地方登录时使其失效？

Answer 1

我将在做一些研究后回答我自己的问题。根据我的理解，JWT令牌是有效的，除非明确列入黑名单。只要服务器认识到它自己创建了令牌，那么它就可以使用密钥破译令牌，并假设它是有效的。这就是为什么代币寿命如此重要。因此，如果您想使已发行的令牌无效，您要么必须等待到期，要么将其列入黑名单。