撤销刷新令牌

Question

我目前正在构建一个使用 asp.net 和 microsoft jwt 库发布 jwt 令牌和刷新令牌的安全服务。 我的问题是，我有来自存储在 db 中的用户的刷新令牌：

1. 每次用户请求新的访问令牌时，我应该使用当前的刷新令牌替换刷新令牌，还是只标记已撤销的刷新令牌或某种标志？
2. 当有撤销令牌的请求时，我应该删除它还是用标志标记它？

谢谢。

Answer 1

处理列入黑名单的 JWT 令牌的一种标准方法是维护不应再受尊重的令牌的黑名单缓存。 您通常会设计设置，以便在任何给定时间黑名单缓存中的 JWT 数量相对较少。 由于缓存相当快（大约比数据库查找快 100 倍），检查每个传入请求的缓存并不是性能杀手。

然后将传入 JWT 的工作流修改为：

1. 检查传入 JWT 的声明（例如 exp）
2. 检查校验和，以确保客户端没有篡改 JWT
3. 命中黑名单缓存，验证JWT没有被撤销
4. 授予对服务器端系统的访问权限

关于整理黑名单缓存，一种常见的方法是为每个 JWT 分配一个到期时间。 然后，当给定的访问或刷新令牌到期时，可以将其从缓存中删除。 例如，Redis 支持使用到期时间自动删除陈旧的缓存条目。