提供新的 JWT 以防過期

Question

我的客戶是一家擁有我的網絡服務器憑據的公司，我希望他讓他的最終用戶使用我為他提供的 JWT 撥打我的 API。 這是流程：

1. 最終用戶從客戶的網絡服務器請求 web 頁面
2. 如果最終用戶沒有 JWT 用於我的網絡服務器，客戶的服務器將使用他的憑據調用我的 API，我給他一個新的 JWT，有效期為 1 小時
3. 客戶將 JWT 發回給最終用戶並將其存儲在本地存儲 / cookies
4. 最終用戶可以用他的 JWT 撥打我的 API
5. 當最終用戶從我的 API 收到狀態代碼 401 時，他再次調用客戶的網絡服務器到特定端點以獲取新的 JWT，我的 API 的有效期為 1 小時，然后他可以再次調用我的 API。

我想知道你對這個流程的看法，並了解它是否合理。 有沒有辦法改善這個流程？ 也許最終用戶應該尋找他的令牌，如果它已過期，以避免調用我的 API 並跳過該部分以縮短往返行程？

Answer 1

這里要遵循的概念是刷新令牌。

在 OAuth 流程中，您可以使用刷新令牌，該令牌可用於在現有身份驗證令牌過期時獲取新令牌。

更詳細的使用方法可以參考OAuth 文章這里。