用户删除账号时是否需要作废JWT？

在用户删除账号的场景下，把剩余有效JWT加入黑名单并做校验是很常见的安全操作，和登出场景的考量完全不同：

• 登出时我们会纠结JWT的无状态特性，但删除账号是不可逆的核心操作，安全优先级远高于保持无状态。用户注销账号后，任何之前发放的有效令牌都不能再拥有访问权限，不然会导致已注销账号的资源被非法调用。
• 这种黑名单不用长期存：可以设置黑名单的过期时间等于该账号所有已发JWT的最长有效期，过期后自动清理，不会给数据库带来持续的负担。
• 实现上还能简化：比如直接把用户ID加入黑名单（而非单个令牌），校验时只要令牌所属用户在黑名单里就直接拒绝，这样比存单个令牌高效得多，适合批量作废该用户的所有有效令牌。

另外提一句：如果你的JWT本身是短有效期（比如15分钟），再配合刷新令牌机制，黑名单的维护压力会更小——短时间内旧令牌就会失效，黑名单只需要保留到最长的那个令牌过期就行。

内容的提问来源于stack exchange，提问作者learncode