java - 是否可以缓存已验证的 JWT token 以防止在 spring-boot 应用程序中重复验证过程

Question

我们有一个具有微服务架构的 spring-boot 应用程序。
我们有一个单独的身份验证服务，它提供使用 RS256 算法签名的 JWT token 。
此 token 在从客户端到我们的主应用程序服务器的每个请求中发送。我有用于验证签名的公钥。
现在，这个 JWT token 会在客户端的每个 API 请求中发送，因为我们的大多数 URL 都受到保护。

缓存已验证的 JWT token 以防止在同一用户的每个 API 调用上重复验证同一 token 是一个好主意吗？

Answer 1

缓存 token 验证结果可能有充分的理由。我只会在必要时才这样做，因为内存验证速度很快。

有时，在验证 token 并识别用户之后，您可能需要对角色等进行相当昂贵的查找 - 并且您不希望在每个 API 请求上都执行此操作

如果缓存，则存储 token 的 SHA256 哈希值 - 并将生存时间设置为不大于 token 的 exp 声明，如 Ankur 所示。

My post进一步探讨这个主题。

API 网关解决方案经常使用此模式。例如，AWS API Gateway 允许您缓存策略文档，下次收到相同令​​牌时可以快速查找该文档。