将JWT令牌存储到数据库是否必要？我的实现是否有安全风险？

一、将JWT存入数据库的意义 #

JWT本身是无状态设计，服务器无需存储即可验证合法性，但你这种存库做法通常是为了应对以下需求：

• 主动作废令牌：当用户主动登出、修改密码、账号被封禁时，即使令牌仍在有效期内，也能通过从数据库删除令牌来立刻拒绝该令牌的后续请求，弥补JWT无法主动失效的天然缺陷。
• 审计追踪：可以记录令牌的创建时间、过期时间、关联用户操作等信息，方便排查异常访问、追溯用户行为。
• 生命周期管控：统一管理所有有效令牌，比如批量清理过期令牌，更灵活地控制令牌的使用范围和时效。

二、你的实现存在的安全漏洞&优化点 #

1. 验证代码逻辑错误
   你写的const unsigned_data = jwt(token, ENCRYPT_KEY);应该是jwt.verify(token, ENCRYPT_KEY)吧？如果直接调用jwt()方法，仅会对JWT进行解码，不会验证签名的合法性——这会导致任何人伪造的JWT都能通过“验证”，属于致命漏洞。

2. 令牌有效性校验逻辑错误
   验证后仅检查数据库中是否存在该邮箱完全没有意义：邮箱存在不代表当前令牌有效（比如用户已登出，令牌已从数据库删除，但邮箱依然存在）。正确逻辑应该是：验证JWT签名合法后，检查数据库中是否存在该令牌且状态为有效。

3. Cookie存储的安全性缺失
   客户端将令牌存在Cookie中时，必须配置以下属性避免攻击：

   • HttpOnly：禁止JS读取Cookie，防范XSS攻击窃取令牌
   • Secure：仅在HTTPS连接下传输Cookie，避免明文泄露
   • SameSite=Strict/Lax：限制Cookie跨站点发送，防范CSRF攻击
     未配置这些属性时，令牌极易被窃取或滥用。

4. 数据库令牌的管理问题
   如果仅存令牌不记录过期时间，会导致大量过期未删的令牌堆积，占用存储且降低查询效率。建议存储时同步记录过期时间，定期清理过期令牌，或查询时自动过滤已过期的记录。

5. JWT Payload的注意事项
   JWT的Payload部分是Base64编码（非加密），任何人都可解码查看内容，因此不要在其中存储敏感信息（如密码、手机号）。你当前存储的ID和邮箱属于非敏感信息，这点没问题，但需注意后续扩展时的内容选择。

内容的提问来源于stack exchange，提问作者RudraSama