Node.js - 我应该在每个请求/响应中刷新 cookie 以更新过期时间吗？

Question

身份验证方法

在我的 Node.js（w/Express.js）后端，我使用 JWT 对用户进行身份验证，该文件存储在带有HttpOnly标志的 cookie 中。 cookie 在N小时后过期。 中间件检查 JWT 是否有效，然后调用next() function 或发送401状态。

当前行为

如果 cookie 过期，用户必须重新登录，即使他仍在使用该应用程序。

期望的行为

我希望 cookie 在N小时内过期，但只要用户使用该应用程序，就必须更新过期时间。 仅当自上次与应用程序交互后已过去N小时时，用户才应重新登录。

问题

我是否应该在每个响应中发送一个新的 cookie，即使唯一改变的是过期时间？ 这被认为是一种好习惯吗？

Answer 1

您需要的称为刷新令牌

您可以在以下位置找到有关刷新令牌的更多详细信息：

https://www.rfc-editor.org/rfc/rfc6749#section-1.5和https://developer.okta.com/docs/guides/refresh-tokens/main/