手动更新 JWT access_token 数据是否被视为不好的做法？

Question

在我的应用程序中，我大量使用存储在令牌中的自定义数据——几乎在每个端点中。 现在我想在用户登录后添加一些数据（这非常重要）。 我想知道用新令牌替换旧令牌是否是一种不好的做法？

假设用户登录并收到此令牌：

{
...
"sub": {
    "someParam": false
},
...
}

但经过一些操作后，我希望someParam更改为true ：

{
...
"sub": {
    "someParam": true
},
...
}

Answer 1

您似乎正在尝试使用 JWT 作为 session 存储机制，这不是一个好习惯。 如果您需要在每次请求时检查数据库中 JWT 的有效性，为什么不只使用会话并保留相关的数据服务器端呢？

另外，您打算如何将这样一个更新的令牌交付给用户？ 我认为将数据保存在后端并只使用会话会容易得多。