JWT 有效负载中的令牌

Question

在 JWT 有效负载中包含一个随机生成的令牌并在每个请求上检查数据库是否是个好主意？

我已经对 JWT 及其实际工作原理进行了研究，我知道它的主要目的是避免在每次请求时查询数据库以授权用户，但我仍然必须这样做，因为我需要一些关于发出请求的用户。

如果需要，我还需要一个好的解决方案来立即撤销令牌。 最初将令牌列入黑名单似乎是一个很好的解决方案，但这需要额外的请求，我认为这不值得。

所以我想出的解决方案是生成一个随机令牌并将该令牌保存在我的数据库中，并将其放入 JWT 有效负载中。 这样，当用户发出新请求时，它首先检查 JWT 令牌是否有效，如果有效，则检查负载中关联的令牌是否有效。

因此，例如，如果用户需要更改他的密码，他的令牌将会更改，并且其有效负载中包含先前令牌的所有 JWT 令牌都将无法验证。

所以解决方案是这样的：

当用户注册时，它会被分配一个随机令牌，并存储在有效负载中。如果注册成功，服务器返回生成的jwtToken。

var jwtToken = jwt.sign({token: randomToken}, PRIVATE_KEY, SIGN_OPTIONS);

所以当用户发出新请求时，它首先会检查 JWT 令牌是否有效。

var legit = jwt.verify(token, JWT_PUBLIC_KEY, SIGN_OPTIONS);

如果是，则继续使用数据库中的用户令牌检查有效负载内的令牌。

SELECT * FROM users WHERE token = legit.token

如果一切正确，则继续正常请求。

Answer 1

“这是个好主意吗...”不是一个很好的提问方式，但我会尽力回答...

1。 JWT 是安全的

私钥背后的原因是为了确保用户不会更改令牌。因此，将经常使用的对象存储在令牌中是完全安全的，无需将令牌存储在任何地方。签名的对象如下所示：

{
  expirationDate: 1560530063664,
  ...user data
}

2。黑名单和撤销令牌

要将某个令牌列入黑名单，我认为最好的方法是您想出的方法。根据您同时访问该网站的用户数量，使用阵列大腿可能/一个好主意。

虽然拥有将令牌列入黑名单的能力可能很好，但真的有必要吗？如果用户更新了他们的密码，他们真的需要注销吗？如果你仍然认为你需要一个令牌存储，我相信有多个 npm 包可以这样做......