JWT黑名单表和性能问题考虑

Question

我目前在Spring上有一个RESTful后端。由于RESTful是无状态的，所以我决定使用JWT，因为在我的整个研究过程中，这是每个人都推荐的（至少对于基于REST的应用程序）。

考虑到身份验证阶段的正常流程：

Frontend                                                      Backend
--- Login flow (refresh token request flow). ---

Login details                               ->        Verify login info
                                                      |
                                                      v
Save the refresh token                      <-        Generate JWT refresh token

--- Access token request flow. ---

Request new access token                    ->        Generate a new Access token
                                                      |
                                                      v
Save the access token                       <-        Give back to user
(Repeat when the access token expires)

--- Logout flow ---

Call JWT token invalidating API             ->        Add a refresh token and access token's hashes 
                                                      to blacklist table.
                                                      |
                                                      v
Erase JWT access token and refresh token    <-        Return result to user.
from storage    

现在看看上面的流程，我们需要一个表来存储访问令牌和刷新令牌的黑名单JWT令牌。由于我们不希望用户经常重新登录，因此刷新令牌可能具有多年的有效期。

因此，我的问题是：恶意用户是否能够通过多次注销和重新登录来攻击系统，从而导致一个大的刷新令牌黑名单表（这可能会降低系统性能，甚至低于有状态身份验证）。

是否存在这样的攻击面？如果是，我们将如何缓解？

• 我正在考虑重用刷新令牌，但我认为这不是一个好主意，至少出于安全目的

我使用的数据库是SQL（PostgreSQL）。

Answer 1

所以我发现在身份验证方面还有很多工作要做