如何在 jwt 身份验证中使用刷新令牌答案

【问题标题】：How to use refresh tokens in jwt authentication如何在 jwt 身份验证中使用刷新令牌
【发布时间】：2019-08-30 18:48:57
【问题描述】：

我对实现刷新令牌有一些疑问。我搜索了很多但一无所获：

【问题讨论】：

【解决方案1】：

客户端将使用刷新令牌从服务器获取新的访问令牌。因此，刷新令牌的格式完全取决于颁发令牌的授权服务器。如果您要发行“访问令牌”和“刷新令牌”，那么使用相同的格式（即 JWT 格式）会更容易。
刷新令牌必须有到期时间。它可能比常规访问令牌到期时间长得多。它始终可以由资源配置。
您应该将刷新令牌发送给客户端，以便客户端可以使用它来请求新令牌。

【讨论】：

【解决方案2】：

我正在使用 JWT 令牌进行刷新。它有不同的声明作为访问令牌。此外，我存储了一些refreshKey 声明，这些声明也存储在数据库中。这种方法允许我撤销这个令牌以防万一（例如用户阻塞功能）。

【讨论】：

Yes you have to send it to client, to keep you architecture stateless ：刷新令牌必须保存在数据库中。所以我们可以处理注销功能。所以你的句子没有意义。
由于我们必须在数据库中保存刷新令牌，我们不需要验证它们，所以我们不必在刷新令牌中使用jwt。我错过了什么吗？
您只能从数据库中的刷新令牌中保存一个声明，而不是整个令牌。 { iss: "iss value", aud: "aud value", exp: 1553521788, refreshKey: "key stored in db" }
我的问题正是在这里，为什么我们不只是将refreshKey 发送给用户？为什么我们需要验证它（作为 jwt）？我们可以将refreshKey保存在db中，发送给用户，当用户想退出时从db中删除。
对不起，我可能有点太装箱了:) 我使用了这种方法，如果用户一个月不使用应用程序，他就会被注销。但如果你不想让他永远登录，你就不需要过期的刷新令牌。