Angular 8：如何在没有刷新令牌的情况下刷新令牌

Question

不使用刷新令牌、OAuth 等时，刷新令牌的首选方法是什么？

当用户对我的 API 进行身份验证时，我只是创建了一个 JWT，这在几分钟内有效。

然后在拦截器中使用该令牌来访问我的 API 的安全路由。

我想在旧令牌过期前几分钟刷新令牌，而不将用户重定向到登录屏幕。

从技术上讲，这不是问题（也没有刷新令牌）。

但是一直刷新它是否安全？ 我想我已经知道答案了……它是否定的。

我知道使用刷新令牌是首选方式。

但是还有其他方法吗？ 你是如何实现这样的行为的？

Answer 1

一种方法是使用现有令牌作为刷新令牌。

在您的拦截器中，或者您正在检查用户是否已通过身份验证的任何地方，您还可以检查令牌是否即将到期。

您可以对令牌进行解码以查找其到期日期和时间。 您可以选择在到期前 X 天或您想要的任何时候续订。

请记住，您可以在不知道密钥的情况下解码 JWT 令牌。 解密令牌需要密钥，但解码不需要密钥。 您可以使用jwt-decode之类的库来解码令牌或编写 function 自行完成。

在后端，您应该有一个 API 端点，它接受当前的 JWT 令牌，如果有效，则创建并返回具有相同内容的新令牌。

但是一直刷新它是否安全？

如您所知，一直刷新它是不安全的。 这是因为如果恶意实体有权访问令牌，他们可以更新它以获得具有延长到期时间的新令牌。 这个新令牌可用于在到期前再次更新。 这可能会无限期地 go 直到我们识别出这些令牌并停止它们的更新。

您可以采取一些步骤使其更加安全：

• 跟踪后端每个用户的续订计数，并在达到阈值后停止续订。
• 停止更新在 X 周或特定时间之前发行的代币。

这样，在某些续订或一段时间后，用户必须再次进行身份验证并获取新令牌。