JWT 刷新令牌覆盖

Question

我在 JWT 场景中遇到问题。当用户通过 Web 应用程序登录系统时，我会生成 JWT 访问令牌 (JWT auth) 和自定义刷新令牌，并将刷新令牌保存在 DB 中以供以后验证。但问题是，当同一用户通过移动应用程序登录时，它会替换 DB 中的新刷新令牌，这会使存储在 Web 本地存储中的先前刷新令牌无效。 我想知道如何处理这个问题。我是否需要在数据库中为用户刷新令牌创建一个单独的表并检查它们，还是有其他更好的方法？

Answer 1

最好的方法是在一个单独的表中为每个用户保存多个刷新令牌，并为该用户提供一个外键。这样，您可以拥有与用户关联的许多刷新令牌（以及有关每个刷新令牌的其他信息，例如到期日期），这也有助于实现撤销（在选择哪个令牌时，您将有更多信息向用户展示撤销）。