登出时删除JWT的疑问：无法按需删除JWT该如何处理？

首先得明确：JWT本身是无状态的，服务器不会存储任何Token信息，只靠签名和过期时间验证有效性，所以确实没法直接“删除”已签发的Token——只要没过期、签名合法，服务器就会认。你说的登出清除Cookie但Token仍有效，就是这个原因。

针对这个问题，常用的解决办法有这几种：

• 短有效期AccessToken+刷新Token
  把业务用的AccessToken设成短过期时间（比如15分钟），同时签发一个有效期更长的RefreshToken。RefreshToken存在服务器端（比如Redis），用户登出时直接删除对应的RefreshToken。这样就算旧AccessToken被泄露，最多15分钟后就失效，而且无法通过RefreshToken获取新的AccessToken，彻底失去作用。

• 维护Token黑名单
  用Redis这类高性能缓存存储已失效的Token，设置和原Token相同的过期时间。每次服务器验证Token前，先查黑名单：如果Token在黑名单里，直接拒绝请求。这种方式适合需要立即失效Token的场景（比如用户改密码、账号被盗）。

• 强化Token存储安全
  如果用Cookie存Token，开启HttpOnly、Secure、SameSite=Strict属性，减少Token被XSS、CSRF窃取的概率。但这只能降低风险，没法解决已经泄露的Token。

• 动态校验用户状态
  每次请求时，除了验证Token，额外查数据库/缓存校验用户当前状态（比如是否已登出、账号是否被封禁）。但这样会打破JWT的无状态优势，增加服务器压力，适合对安全性要求极高但并发量不大的场景。

内容的提问来源于stack exchange，提问作者Manuraj singh Rathore