Spring Boot微服务中用户未显式登出直接关浏览器时如何维护登出审计日志？

针对你遇到的用户直接关闭浏览器未触发登出、JWT持续有效至过期的问题，以下是不依赖beforeunload事件的解决方案：

1. 缩短访问令牌有效期+刷新令牌机制 #

• 将**访问令牌（Access Token）的有效期设为短时长（如15分钟），同时颁发刷新令牌（Refresh Token）**用于获取新的访问令牌。
• 刷新令牌存储在服务端数据库/缓存中，关联用户会话。用户关闭浏览器后，旧访问令牌很快过期；若刷新令牌未被用于续期，可设置较短有效期（如2小时），或在用户再次登录时自动替换旧刷新令牌。
• 服务端验证访问令牌仅需检查签名与有效期，无需查库；验证刷新令牌时则需查询存储确认有效性，可随时主动失效特定刷新令牌。

2. 服务端令牌黑名单机制 #

• 实现令牌黑名单：用户主动登出时，将当前访问令牌和刷新令牌加入黑名单，设置过期时间与对应令牌有效期一致。服务端每次验证令牌前，先检查是否在黑名单内。
• 对于用户关闭浏览器的场景，虽无法主动将令牌加入黑名单，但因访问令牌有效期短，黑名单的存储和查询压力可控，令牌过期后自动从黑名单移除即可。

3. 基于用户活动的会话校验 #

• 服务端记录每个用户的最后活动时间（每次收到有效请求时更新）。当用户无活动时长超过访问令牌有效期+缓冲时间（如20分钟），则判定会话失效。
• 结合刷新令牌机制，当用户尝试用刷新令牌获取新访问令牌时，先检查最后活动时间，若超出阈值则拒绝续期，要求重新登录。

4. 会话Cookie存储令牌 #

• 将JWT存储在HttpOnly、Secure的会话Cookie中（不设置max-age或expires），浏览器关闭时会话Cookie会自动失效。用户下次打开浏览器时无法获取旧令牌，必须重新登录。
• 补充：若用户设置了Cookie持久化，该方式效果受限，但配合短有效期令牌可大幅降低未登出带来的风险。

内容的提问来源于stack exchange，提问作者Mik Op