ruby-on-rails - JWT token 案例的状态码

Question

验证是使用JWT实现的。对于 token 的所有到期/无效情况，建议使用401状态代码。但是，应仅在“过期”情况下而不是在“无效”情况下从客户端尝试使用刷新 token 。那么，如何用适当的状态码区分这些情况？ (即，对于第一种情况，我可以使用什么状态代码？对于第二种情况，我可以使用什么状态代码？)

Answer 1

我不建议区分这两种情况，因此您可以保持独立，因为还有许多其他情况可能会导致访问 token 被禁止。

从理论上讲，提供者可能会更改刷新 token 生成过程的实现，因此仅当客户端在获取访问 token 时始终获得最近的刷新时，刷新 token 才可能有效。

如果您仍想区分这两种情况，则可以添加原因以响应有效负载并构建逻辑来处理每个原因。但是，如果您要向用户提供原因，这仍然是必须解决的安全问题，因为您提供给客户端的信息与打开攻击之门一样多。