Websocket刷新令牌

Question

我目前正在与Unity合作开发多人回合底牌游戏。 多人游戏体系结构将使用websocket（NodeJS Socket.IO），出于安全考虑，在访问令牌过期后，我将JWT与刷新令牌一起使用。

每当我向websocket发出请求时，我都会发出该请求以及访问令牌。 当访问令牌过期时，我应该立即使用刷新令牌撤消新的访问令牌。 我这里关心的是刷新令牌处理。 我是否应该向客户端发出请求以获取刷新令牌，然后将刷新令牌重新发送回websocket以续订访问令牌？ 要续订访问令牌，我将通过数据库验证刷新令牌，以确保该令牌有效。 我想知道整个过程是否合适，因为它是实时多人游戏，因此会造成任何延迟（滞后）。

这里有人可以提出建议吗？

Answer 1

如果您看到基于访问/刷新令牌进行身份验证的传统HTTP API，则应用程序将自己跟踪令牌的到期时间（这意味着JWT应该具有exp时间戳）。 如果应用程序检测到访问令牌即将过期，它将作为交换令牌的新服务器从服务器获取。

同样的流程在这里有效

1. 用当前时间戳检查到期时间戳（减去一些缓冲时间）。
2. 如果访问令牌即将到期，请从服务器获取一个新令牌，然后继续上一个调用。