資訊專欄INFORMATION COLUMN
摘要：而且這樣做的話，會(huì)存在多個(gè)令牌同時(shí)有效，可能會(huì)引起一些安全問(wèn)題。這種做法也是很多人采用的一種。對(duì)于續(xù)期的話，個(gè)人覺(jué)得第二種方案是比較好的一種方案。而退出的話，如果不考慮泄露的問(wèn)題，那么第一種方案是比較好的一種方案。這些都是自己對(duì)的一些理解。
在使用jwt的過(guò)程中發(fā)現(xiàn)了兩個(gè)問(wèn)題續(xù)期和退出的問(wèn)題。續(xù)期
因?yàn)?b>jwt的token在簽發(fā)之后是有過(guò)期時(shí)間的，所以就存在管理這個(gè)過(guò)期時(shí)間的問(wèn)題。我看網(wǎng)上有提出解決方案的大致有下面幾個(gè)
每次更新過(guò)期時(shí)間，跟session一樣，每次請(qǐng)求的時(shí)候都會(huì)去更新下token過(guò)期時(shí)間.但是對(duì)于jwt來(lái)說(shuō)，更新過(guò)期時(shí)間就意味著jwt的token會(huì)變,那么前端就需要每個(gè)請(qǐng)求都去保存一次新的token。這樣使得前端的工作變的復(fù)雜起來(lái)。而且這樣做的話，會(huì)存在多個(gè)令牌同時(shí)有效，可能會(huì)引起一些安全問(wèn)題。
還有一個(gè)就是每隔一段時(shí)間去更新一次token。這種做法也是很多人采用的一種。比如：token過(guò)期時(shí)間是一個(gè)小時(shí)。預(yù)設(shè)每五十五分鐘去更新token。這種模式也是需要前端去配合完成的。
退出因?yàn)?b>token在簽發(fā)之后在一段時(shí)間內(nèi)是一直有效的，那么這種情況，我們?cè)趺慈ス芾淼浅瞿兀?/p>
簡(jiǎn)單的方式就是客戶端直接刪除token。但是這樣的話，如果token泄露了也是不安全的。
有人提出退出的時(shí)候?qū)?b>token存放在redis中,過(guò)期時(shí)間設(shè)置為跟token的時(shí)候一樣。當(dāng)用戶在次用舊的token訪問(wèn)的時(shí)候，如果發(fā)現(xiàn)redis中存在token，那么提示token過(guò)期。
對(duì)于續(xù)期的話，個(gè)人覺(jué)得第二種方案是比較好的一種方案。而退出的話，如果不考慮泄露的問(wèn)題，那么第一種方案是比較好的一種方案。但是如果做SSO的話可能第二種方案是比較好的一種，但是在用到了redis之后就違背了jwt的設(shè)計(jì)初衷，需要與數(shù)據(jù)庫(kù)交互。
其實(shí)個(gè)人覺(jué)得，jwt的加密方式結(jié)合redis這種也是可以采用的。畢竟這些都是為了解決問(wèn)題。當(dāng)利用到redis之后，我們就可以將jwt擴(kuò)展下。在payload部分加載一個(gè)生成的refresh token ，這個(gè)refresh token也是有過(guò)期時(shí)間的，我們需要將這個(gè)refresh token存放在redis中。這樣的話，我們就可以把jwt的過(guò)期時(shí)間放在這個(gè)refresh token中維護(hù)。續(xù)期也就是維護(hù)這個(gè)refresh token的過(guò)期時(shí)間，退出的話 也就是刪除這個(gè)refresh token就可以了。
其實(shí)這樣的話就跟傳統(tǒng)的token驗(yàn)證一樣了，也就是外層加了一個(gè)jwt的驗(yàn)證。
可能是我對(duì)于這方面了解的比較少，不能想到什么有效的方案。這些都是自己對(duì)jwt的一些理解。如果哪位大佬有更好的方案，希望賜教。感謝
文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請(qǐng)注明本文地址：http://systransis.cn/yun/29510.html
摘要：什么是是一個(gè)開放的數(shù)據(jù)交換驗(yàn)證標(biāo)準(zhǔn)，一般用來(lái)做輕量級(jí)的鑒權(quán)。由于許多接口設(shè)計(jì)是遵循無(wú)狀態(tài)的比如，所以是這一套機(jī)制的替代方案。組成由三部分組成頭部載荷簽名。 什么是JWT？ JWT(Json Web Token)是一個(gè)開放的數(shù)據(jù)交換驗(yàn)證標(biāo)準(zhǔn)rfc7519(https://tools.ietf.org/html/r...，一般用來(lái)做輕量級(jí)的API鑒權(quán)。由于許多API接口設(shè)計(jì)是遵循無(wú)狀態(tài)的(...
摘要：到這里，基于的前后端分離實(shí)現(xiàn)方案就搞定啦四關(guān)于的一些思考實(shí)際上，在使用的過(guò)程中有一個(gè)比較致命的缺點(diǎn)，就是一旦簽發(fā)了，在到期之前就會(huì)始終有效，除非服務(wù)器部署額外的邏輯。結(jié)語(yǔ)以上是關(guān)于基于的前后端分離實(shí)現(xiàn)方案的總結(jié)和思考。 一、jwt是什么 JWT全稱， JSON Web Token，是一個(gè)以JSON為基準(zhǔn)的標(biāo)準(zhǔn)規(guī)范。 舉例：服務(wù)器認(rèn)證以后，生成一個(gè) JSON 對(duì)象，發(fā)回給用戶，就像下...
摘要：框架具有輕便，開源的優(yōu)點(diǎn)，所以本譯見(jiàn)構(gòu)建用戶管理微服務(wù)五使用令牌和來(lái)實(shí)現(xiàn)身份驗(yàn)證往期譯見(jiàn)系列文章在賬號(hào)分享中持續(xù)連載，敬請(qǐng)查看在往期譯見(jiàn)系列的文章中，我們已經(jīng)建立了業(yè)務(wù)邏輯數(shù)據(jù)訪問(wèn)層和前端控制器但是忽略了對(duì)身份進(jìn)行驗(yàn)證。 重拾后端之Spring Boot（四）：使用JWT和Spring Security保護(hù)REST API 重拾后端之Spring Boot（一）：REST API的搭建...
摘要：創(chuàng)建應(yīng)用有很多方法去創(chuàng)建項(xiàng)目，官方也推薦用在線項(xiàng)目創(chuàng)建工具可以方便選擇你要用的組件，命令行工具當(dāng)然也可以。對(duì)于開發(fā)人員最大的好處在于可以對(duì)應(yīng)用進(jìn)行自動(dòng)配置。 使用JWT保護(hù)你的Spring Boot應(yīng)用 - Spring Security實(shí)戰(zhàn) 作者 freewolf 原創(chuàng)文章轉(zhuǎn)載請(qǐng)標(biāo)明出處 關(guān)鍵詞 Spring Boot、OAuth 2.0、JWT、Spring Security、SS...
摘要：為用戶提供授權(quán)以允許用戶操作非公開資源，有很多種方式。具體的代碼根據(jù)不同的授權(quán)方案而有所不同。使用授權(quán)原理利用來(lái)驗(yàn)證用戶，有兩種機(jī)制實(shí)現(xiàn)。使用來(lái)實(shí)現(xiàn)用戶授權(quán)主要用于簽發(fā)如果有將異步的簽名。 ? 在很多應(yīng)用中，我們都需要向服務(wù)端提供自己的身份憑證來(lái)獲得訪問(wèn)一些非公開資源的授權(quán)。比如在一個(gè)博客平臺(tái)，我們要修改自己的博客，那么服務(wù)端要求我們能夠證明 我是我 ，才會(huì)允許我們修改自己的...
閱讀 1542·2021-11-17 09:33
閱讀 1292·2021-10-11 10:59
閱讀 2925·2021-09-30 09:48
閱讀 1932·2021-09-30 09:47
閱讀 3061·2019-08-30 15:55
閱讀 2361·2019-08-30 15:54
閱讀 1515·2019-08-29 15:25
閱讀 1672·2019-08-29 10:57
