rest - 在 Spring Boot REST API 中注销时使 JWT 令牌过期

Question

当用户单击注销按钮时，如何使 JWT 令牌无效？我做了一些研究，但我找不到任何好的实现。

标签： restspring-bootjwt

Answer 1

您找不到任何“过期”的方法，JWT因为没有这种方法。我们可以说这是一个缺点JWT。

如果它token被妥协，那么这是一个巨大的问题。如果您需要使令牌/会话无效，您可能需要考虑其他身份验证机制。

使此类令牌“无效”的唯一方法是secret在后端使用其他密钥 - 这显然是一个非常可怕的想法！

但是，如果您正在寻找一种在前端“注销”用户的方法，只需从存储中清除 JWT。（不过，如果该用户复制了令牌，他将能够针对 rest api 执行请求）。