使用相同的 JWT 令牌注销所有用户

Question

我正在使用 React 和 Nodejs。 我正在使用 JWT 作为身份验证机制。 现在有多个用户使用同一个 email 登录的情况，比如“brucewayne@gmail.com”。

现在我们要实现“从所有设备注销”，它应该使所有令牌过期并使用户退出他们的设备。

最好的方法是什么？

Answer 1

当您生成 JWT 时，您可以使用代表某种唯一“设备 ID”的 guid，它也存储在服务器端，并像用户 ID 一样引用用户。

在验证 JWT 的过程中，您只需要检查 guid 是否仍然存在于数据库中，如果不存在则告诉客户端重新登录。

这样，您就可以从用户 ID 匹配的存储表中删除所有内容，并立即注销所有客户端。

我还建议按照此处所述在有效载荷内使用第二个唯一标识符，以进一步提高安全性。

如果您存储/更新有关客户端任何活动的附加信息，例如用户代理和当前时间戳，您还可以提供客户端最近在哪个设备上活动的列表，并让他从其上的特定设备注销如果需要，自己拥有。

例如：

登录：

// after validation of user/password

let config = { expiresIn: "2 days", issuer: "example" };
let payload = {
  ...otherData, // other stuff needed on the client side like the username to display somewhere
  guid: uuid.v4(),
  refTokID: uuid.v4()
}
let token = jwt.sign(payload, SECRET, config);
let decoded = jwt.verify(token, SECRET);

/*
 * store payload.guid, payload.refTokID, user.id 
 * and expiration date (decoded.exp) from the token to db
 * (+optional with current timestamp & user agent)
 *
 * where the expiration date is used as a info for a
 * cronjob to delete expired tokens automatical in
 * intervals (daily, hourly, whatever)
 */

// send token to client

确认：

try {
  let decoded = jwt.verify(token, SECRET);

  // get user id and user data (left join) from db where guid and refTokID matches

  if (found) { 
    // other logic, like check if user is still active/not locked and so on

  /*
   * check db if the guid with the given refresh for the given user is still present
   *
   * (optional) If ok, just update the User Agent info and access time and continue
   *
   * If not, send a HTTP 401 Unauthorized Error or whatever you like to tell the client,
   * that the token is not valid anymore and that he has to sign in again
   */
  } else {
    // 401 
  }
} catch(e) {
  // 500
}

更新：

// assuming the token is already decoded and verified.

// generate new token but use the same guid,
let token = jwt.sign({ 
  ...otherData,
  guid: decoded.guid,
  refTokID: uuid.v4() // generate a new refresh token to invalidate the old JWT directly
}, SECRET, config);

// update expiration date and refresh token where guid and decoded.refTokId matches at the db

// send the new token to client

Answer 2

我在这里为您提供了 2 种不同的方法，也许更多，但这 2 种都很好。

1. 您可以为 mongo db 用户文档创建一个名为：jwt_validDate 的新字段，它存储 jwt 应该有效的日期。 此外，当您授权是有效的 jwt 时，您应该检查 jwt 的创建时间日期是否比用户字段 jwt_validDate 最近，如果 jwt 比验证日期最近，那没关系，但如果 jwt 比验证日期返回早一个响应错误，指出 jwt 已过期并且 gmail 帐户必须重新登录。 这是一种很好的可扩展方式，

2. 另一种方法是设置一个新的 mongodb 文档字段，其中包含一个包含 jwt 个有效令牌的数组 []，您可以在其中存储所有 jwt 个有效令牌，当您想要注销所有人时，只需从数组中删除 jwt 个有效令牌即可。 为此，您还应该实施授权方法，检查尝试登录的 jwt 令牌是否在数组中。