Spring 引導中 JWT 的最佳實踐是什么？

Question

我想用 Spring Boot 和 JWT 開始一個項目，我看到了一些將刷新令牌保存在數據庫中的示例，所以我的問題是我必須將刷新令牌插入數據庫，還是我有另一種最佳實踐方式？ 如果我必須插入數據庫，為了刪除過期的令牌，我應該在 Spring 中工作？

非常感謝

Answer 1

在刷新令牌流的情況下，安全地管理刷新令牌是客戶端的責任。 訪問令牌過期后，客戶端可以使用之前保存的刷新令牌來獲取新的訪問權限和可選的刷新令牌。 當您詢問在服務器端存儲刷新令牌的方法時，我認為在發布新訪問令牌時將其存儲在數據存儲中以供以后驗證目的具有一個重要優勢。 通過這樣做，您始終可以限制或撤銷對服務的訪問。 如果刷新令牌具有較長的驗證時間並且服務器在刷新令牌流期間未使用新的訪問令牌發出新的刷新令牌，這將是有意義的。