Express路由中JWT验证用户请求后查MongoDB是否为正确方案？

你的这个方案是可行且严谨的，毕竟JWT本身是无状态令牌，一旦签发就没法主动撤销，仅靠解码校验没法覆盖用户账号被删除、封禁这类场景，每次请求查库确认用户状态是很稳妥的做法。

方案的核心优势 #

• 实时同步用户状态：不管是用户主动删除账号，还是后台封禁账号，都能在用户下一次请求时立刻拦截，不会因为JWT还在有效期就继续放行。
• 能获取最新用户数据：可以顺便从数据库拿到用户的最新权限、配置等信息，保证请求处理逻辑基于最新状态。

可优化的点 #

• 降低数据库压力：高并发场景下每次查库会增加负载，建议用Redis做活跃用户缓存，缓存有效期设得比JWT短（比如JWT有效期2小时，缓存设30分钟），大部分请求走缓存，缓存失效或用户状态变更时再查库更新缓存。
• 基础校验不能省：解码JWT前必须先验证签名有效性、令牌是否过期，这是最基础的安全门槛，不能直接跳过解码就查库。
• 精简查询字段：查库时只取必要的字段（比如_id、status、roles），不要返回整个用户文档，减少数据传输和查询耗时。

替代思路（按需选择） #

如果你的业务对实时性要求没那么高（比如用户删除/封禁是低频操作），可以试试“懒校验”：平时只验证JWT的合法性，当用户状态变更时，把对应的JWT存入黑名单缓存，后续请求先检查黑名单。这种方式能减少查库次数，但需要额外维护黑名单，适合性能优先的场景。

内容的提问来源于stack exchange，提问作者Bear Bile Farming is Torture