node.js - 使用 JWT 撤销/使 token 无效

Question

我正在使用带有 Node 的 JWT (jsonwebtoken) 包来处理 token 。

有什么方法可以“注销”/撤销/使 token 无效吗？

Answer 1

如果您只想注销当前用户，如@Massimiliano 所说，通常通过从您一直用来跟踪它的任何客户端存​​储(例如 cookie)中删除 token 来实现。

如果您出于安全原因需要撤销，这里有一篇文章讨论了为什么您可能不想首先使用 JWT，而是使用常规的、不透明的 Bearer token (通过将它们存储在数据库中来实现，通常使用一个安全的随机字符串作为他们的 ID)。

https://www.dinochiesa.net/?p=1388

基本上，如果不添加数据库查找，它们是不可撤销的(否定一开始使用 JWT 的主要原因之一)。在需要通过用户界面撤销的情况下，您将希望能够通过 user_id 或 group_id 或类似方式查询 token ，因此您您将希望能够通过该信息为 token 编制索引，而不是让它在 JWT 声明中变得不透明。