JWT 有效负载内的令牌

Question

在 JWT 有效负载中有一个随机生成的令牌并在每个请求上检查数据库是否是一个好主意吗？

我已经对 JWT 及其实际工作原理进行了研究，我知道它的主要目的是避免在每个请求上查询数据库以授权用户，但我仍然必须这样做，因为我需要有关发出请求的用户的某些信息。

如果需要，我还需要一个好的解决方案来立即撤销令牌。将令牌列入黑名单似乎是一个很好的解决方案，但这需要额外的请求，我认为不值得付出努力。

因此，我想出的解决方案是生成一个随机令牌并将该令牌保存在我的数据库中，并将其放入 JWT 有效负载中。这样，当用户发出新请求时，它首先检查 JWT 令牌是否有效，如果有效，则检查有效负载中关联的令牌是否有效。

因此，例如，如果用户需要更改其密码，则其令牌将更改，并且其有效负载中具有先前令牌的所有 JWT 令牌将无法验证。

所以解决方案是这样的：

当用户注册时，它被分配了一个随机令牌，并且还存储在有效负载中。如果注册成功，服务器将返回生成的 jwtToken。

var jwtToken = jwt.sign({token: randomToken}, PRIVATE_KEY, SIGN_OPTIONS);

因此，当用户发出新请求时，它首先检查 JWT 令牌是否有效。

var legit = jwt.verify(token, JWT_PUBLIC_KEY, SIGN_OPTIONS);

如果是，则继续使用数据库中的用户令牌检查有效负载内的令牌。

SELECT * FROM users WHERE token = legit.token

如果一切正确，则继续执行正常请求。

Answer 1

私钥背后的原因是确保用户不会更改令牌。因此，存储令牌中经常使用的对象是完全安全的，无需将令牌存储在任何地方。签名对象如下所示：

{
  expirationDate: 1560530063664,
  ...user data
}

将某个令牌列入黑名单，我相信最好的方法是你想出的方式。根据您同时访问网站的用户数量，可能/只使用阵列大腿是个好主意。

虽然能够将令牌列入黑名单可能很好，但真的有必要吗？如果用户更新其密码，是否确实需要注销？如果您仍然认为您需要一个令牌存储，我相信有多个 npm 包可以做到这一点......