JWT(JSONWeb令牌)自動延長到期時間我想對我們的新RESTAPI實現基于JWT的身份驗證。但是，由于到期是在令牌中設置的，那么是否可以自動延長它呢？如果用戶在這段時間內積極使用應用程序，我不希望用戶在每隔X分鐘注冊一次。那將是一個巨大的UX失敗。但是延長過期會創建一個新令牌(舊令牌在過期之前仍然有效)。在每次請求之后生成一個新的令牌對我來說聽起來很傻。當多個令牌同時有效時，聽起來就像是一個安全問題。當然，我可以使用黑名單使舊的已使用的標記失效，但是我需要存儲令牌。JWT的好處之一是沒有存儲。我發現Auth0是如何解決這個問題的。它們不僅使用JWT令牌，還使用刷新令牌：https://docs.auth0.com/refresh-token但是，要實現這個(沒有Auth0)，我需要存儲刷新令牌并維護它們的過期。那麼，真正的好處是甚麼呢？為什么不只有一個令牌(而不是JWT)并將過期保存在服務器上呢？還有其他選擇嗎？是否使用JWT不適合此場景？
3 回答
有只小跳蛙
TA貢獻1824條經驗 獲得超8個贊
Web應用
移動/本地應用程序
-
wengyaqiang有所啟發，感謝！
達令說
TA貢獻1821條經驗 獲得超6個贊
以相對較短的到期時間(例如15分鐘)發出JWT令牌。 應用程序在任何需要令牌的事務之前檢查令牌過期日期(令牌包含到期日期)。如果令牌已經過期，那么它首先要求API‘刷新’令牌(這是透明地對UX進行的)。 API獲得令牌刷新請求，但首先檢查用戶數據庫，查看是否針對該用戶配置文件設置了“reauth”標志(令牌可以包含用戶id)。如果存在標志，則拒絕令牌刷新，否則將發出新令牌。 重復一遍。
慕的地10843
TA貢獻1785條經驗 獲得超8個贊
在成功登錄時，向客戶端發出一個令牌，會話時間為30分鐘(或任何通常的服務器端會話時間)。 創建一個客戶端計時器來調用服務，以便在令牌到期之前對其進行更新。新令牌將取代未來呼叫中的現有令牌。
添加回答
舉報
0/150
提交
取消