JWT jti的唯一性

Question

我在理解如何在JWT中使用jti声明时遇到了一些麻烦。 据我在其他SO问题和在线文档中看到的那样，他们应该是唯一的，但在什么范围内是唯一的？ 每个网站/应用一个jti？ 每个令牌/用户一个jti？ 而且，如果我有一个特定于用户的jti，那是否不应该撤销JWT无状态的意义，因为我需要以某种方式跟踪令牌？

我希望获得一些帮助，以了解如何使用jti，或者也许根本不需要它。

Answer 1

jti 在应用程序范围内应该是唯一的，以防止两个相等的JWT。

参见RFC 7519

4.1.7。 “ jti”（JWT ID）声明

“ jti”（JWT ID）声明为JWT提供了唯一的标识符。 标识符值的分配方式必须确保将相同值偶然分配给不同数据对象的可能性极小； 如果应用程序使用多个发行者，则还必须防止不同发行者产生的值之间发生冲突。 “ jti”声明可用于防止重播JWT。 “ jti”值是区分大小写的字符串。 此声明的使用是可选的。

如果您需要黑名单来吊销令牌并确保相同的JWT不会被发布两次（当包含相同的内容而没有时间戳声明时），这可能会很有用。