spring - 将 JWT 存储在数据库中是否有意义？

Question

关闭。这个问题是 opinion-based .它目前不接受答案。

---

想要改进这个问题吗？ 更新问题，以便 editing this post 提供事实和引用来回答它.

关闭去年。

社区审核了是否重新打开此问题6 个月前 并关闭:

原始关闭原因未解决

Improve this question

我已经使用 Spring Boot、Spring Security、OAUTH2 和 JWT 作为身份验证 token 实现了一个基本身份验证系统。它工作正常，但我在想是否有意义将 JWT 存储在数据库中并在每次有人使用它发出经过身份验证的请求时检查是否存在 token ？我特别考虑了以下场景:用户在移动设备中进行了身份验证，并且他们丢失了它，因此他们想要取消对该设备的授权。然后，他们将能够发出一个操作，清除颁发给他们的用户 ID 的 token 并取消对分配给他的所有 token 的授权。还有什么办法吗？我认为这是错误的还是过于复杂的事情？

这是为了保护将从移动应用程序调用的 REST API。

Answer 1

您可以将 JWT 存储在数据库中，但您会失去 JWT 的一些好处。 JWT 的优势在于无需每次都检查数据库中的 token ，因为您只需使用加密技术来验证 token 是否合法。如果您必须在数据库中查找 token ，您不妨只使用不携带信息的不透明 token ，让服务器和数据库为您提供信息。另一方面，如果您要将 token 存储在数据库中，我认为 JWT 对于您的 token 类型来说并不是一个糟糕的选择。正如您所说，如果您将 token 存储在数据库中，那么撤销有好处。这完全取决于您想要实现的目标(更快的授权等与按需撤销的能力)。

如果需要，您仍然可以将 JWT 与 OAuth2 一起使用，而无需将 token 存储在数据库中。 JWT 有一个可配置的到期时间，您可以设置 - 之后它们就无效了。访问 token (无论是否 JWT)通常应该是短暂的以确保安全。如果担心某人的手机被盗并获得访问 token ，我认为解决方案是让这些 token 快速过期(30 分钟？)。如果您使用的是 oauth2，阻止某人继续使用该应用程序的方法是让真正的所有者在授权服务器上取消对移动应用程序客户端的授权，这样就不会再发出访问 token 。