当用户删除时，删除用户的令牌

Question

假设有一个用户在我们的系统上注册，并且在一段时间后，管理员或我等从数据库中删除了该用户，但该用户有一个 jwt 令牌，该用户可以向与 USER 角色相关的所有服务发送请求.我想要你的是实现一个过滤器来过滤我们系统中没有真实用户的令牌。

我如何处理这个问题？

Answer 1

在控制器中执行代码之前添加验证令牌工作流。

REST (JWT) -> 验证层（jwt 令牌已过期 || 用户不存在）-> 控制器（进程）

对于每个框架，我们都有不同的做法。 示例 Java Spring Boot https://www.javainuse.com/spring/boot-jwt

我们可以定义

class JwtRequestFilter extends OncePerRequestFilter


...

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
    protected void configure(HttpSecurity httpSecurity) throws Exception {
        // We don't need CSRF for this example
        httpSecurity.csrf().disable()
                // dont authenticate this particular request
                .authorizeRequests().antMatchers("/authenticate").permitAll().
                // all other requests need to be authenticated
                anyRequest().authenticated().and().
                // make sure we use stateless session; session won't be used to
                // store user's state.
                exceptionHandling().authenticationEntryPoint(jwtAuthenticationEntryPoint).and().sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS);

        // Add a filter to validate the tokens with every request
        httpSecurity.addFilterBefore(jwtRequestFilter, UsernamePasswordAuthenticationFilter.class);
    }

}

所以对我们应用程序的每个请求都会进入请求过滤器并检查令牌