如何撤銷用戶作為管理員用戶的訪問令牌和刷新令牌？ 在 Oauth2 中使用 JWT 時

Question

如何撤銷用戶作為管理員用戶的訪問令牌和刷新令牌？ 在 Oauth2 中使用 JWT 時。 是否建議將令牌存儲在數據庫中？

Answer 1

如果您希望能夠撤銷令牌，那么除了在數據庫中保留一些數據之外別無他法。 您可以保留具體的令牌，並將它們標記為已撤銷，直到它們過期，或者您可以保留一個帶有 clientID/userID 和時間戳的條目，並且在給定的時間戳之前不接受頒發給該客戶端/用戶的令牌。

如果您希望能夠撤銷訪問令牌，那么您必須記住，所有使用該令牌的 API 都必須調用該數據庫來檢查該令牌是否已被撤銷。 擁有短期訪問令牌（15 甚至 5 分鍾）通常更容易，並且只處理撤銷刷新令牌，因為 RT 僅在您的授權服務器中使用。