前后端分离的项目中采用jwt作为接口的安全机制会遇到jwt过期的问题。
jwt中可以设置过期时间,即使是设置成一个月,但可能用户正上一秒还在使用,下一秒jwt过期被叫去重新登录,这是不能接受的,所以需要有处理jwt过期的机制。
在这个问题上比较常用的做法是采用双token——access token和refresh token来处理,access token用户授权,refresh token用于前者过期后获取新的access token。
这里。
我在这里记录我单token方案的思路。

  • 用户登录时生成token并设置过期时间(这里可以设置一个较短的时间,如30分钟),将这个token返回并在下一次请求中携带以用来认证。同时我们在redis中保存该token的刷新标记,key为"jwt_token:userId",value为生成的token,并设置过期时间(这里可以设置一个较长的时间,如7天,作为用户最大未使用时长,超过就需要重新登录)。
  • 后端接收前端请求,如果携带的token未过期,则正常访问。
  • 后端接收前端请求,如果携带的token过期,则拒绝访问并返回一个jwt过期异常。
  • 前端知晓token过期后需要携带过期的token访问token刷新接口,后端查询redis,1)value与token相同:生成新的token,覆盖value,并刷新value的过期时间,返回前端;2)value与token不相同,拒绝刷新,用户重新登录;3)key不存在,拒绝刷新,用户重新登录。
  • 用户重新登录时,生成新的token,并把redis中的相应记录覆盖,用户注销时将redis中的记录删除,旧的token将会在较短的时间后过期且不能刷新。

相较于双token的方案,单token方法既是access token又是refresh token,这样的好处是对于前端无感,前端只需要管理token,过期后带着过期的token重新获取。redis中维护的过期时间即是用户多久没使用必须登录的时间。

这个方法还有改进的空间,如在key中加入设备号字段,这样就可以方式多设备登录的覆盖问题,也可以手动控制不同设备上的注销。

可能有考虑不周的地方,还望指教。

Logo

为开发者提供学习成长、分享交流、生态实践、资源工具等服务,帮助开发者快速成长。

更多推荐