观帖“登录最佳实践”有感， jwt token 如何优雅的刷新？

[AllenHua]

原帖点我，一般的业务系统里 jwt token 都是如何刷新的？有没有最佳实践。

亮出一些观点

• jwt token 没有撤销机制，一旦泄露或者被窃取有安全隐患，所以 token 有效期也不建议设置的太长
• 每次请求均生成新的 token 返回给前端有比较大的开销，太粗暴了
• 利用 redis 验证，但是这样的话 jwt token 的 verify 功能就没有充分利用到，为什么还要用 jwt token?
• 借鉴 oauth2 的设计使用 refresh_token ，对于小的业务系统应该是更加复杂了

在 SpringBoot + redis + jwt token 的技术实践中，我的一点想法：

1. 充分利用 jwt token 和 redis ，在拦截器中校验用户请求是否有效使用 jwt token 的 verify 和 redis hasKey 联合校验
2. 设置一个 jwt token 已过期的缓冲区，比如设计 token 有效期 1 小时，但是在超时的 20 分钟内用户可以拿现有 token 换一个新的 token ，实现 token 的刷新。如果用户在此期间一直有操作系统，那么就不用重新登录。如果用户有 80 分钟没有使用系统就需要重新登录

为的是服务器开销和业务需求之间寻求平衡。

---

网上搜到一些讨论(如下)，欢迎大家畅所欲言

• https://www.jianshu.com/p/5334589a2bbe
• https://blog.csdn.net/qq_27900925/article/details/100141226
• https://blog.csdn.net/weixin_39581652/article/details/110801338
• https://codeantenna.com/a/6hbiU2qRvY

[hhyyd]

我做了两个项目的登录功能后，目前的方案是：accessToken 过期时间设置短些，如果过期则前端用 refreshToken 获取新 token 即可（对用户来说是无感知的替换了 accessToken ）。jwt 和 redis 选择一种方案即可，jwt 本身有附带信息解密即可，如果用 redis 关联 token-用户信息查询也很快。

两种方案都有尝试过，相对更倾向加上 redis 去做记录，如果想要在服务端清除用户本次的登录状态，如果有 redis 记录就方便些；如果用的是纯 jwt 的话，不是很好办，最终还是要服务端记录这个 jwt 。

楼主的过期超时 20 分钟的缓冲，其实就是 refreshToken 方式, 刚开始接触的时候，也用过这种 token 替换 token 的方式，后来发现还有 refreshToken 这种方式，非常适合这种频繁操作时延长 token 有效期的场景

[AllenHua]

@hhyyd #21 很有用，谢谢分享

[xxfye]

每次请求都用中间件判断 jwt ，快过期了就发一个新的，附加到 header 上。拦截器发现新 token 的就替换旧的。

[nl101531]

设定过期时间，服务端检测每次请求时，token 还有多久过期，在一定允许时间范围内，重新下发。 这个方案需要 cookie 承接 token

[gengchun]

@hhyyd refesh token 总感觉有些多余。一次要整两个 token ，一个 refresh 和一个 access 。

而目的好像只是防止第三方的 js 脚本可以读取 access token ，但是读不了 refresh token 。这个设计还有别的目的吗？

[AllenHua]

@zhleonix #20 长见识了
@gengchun #25 我原本也是这样认为的，但是新的认知还得重新建立

[chtcrack]

从来不用 jwt,都是自己设计一套 token 系统..

[kssss]

刷新啥，让用户退出重新登录

[AllenHua]

@kssss #28 给你补充个 doge

[poorcai]

@xxfye #23 这样会不会比 refresh_token 危险一些？