JWT认证：存储刷新令牌时是否需同步存储过期时间？

首先明确：你的核心思路是正确的。JWT的refresh token本身携带exp（过期时间）字段，通过jwt.verify()方法确实会自动校验该字段，过期时抛出TokenExpiredError，完全可以实现过期验证，不需要额外存储过期时间也能完成核心功能。

至于为什么有人建议把过期时间和refresh token一起存在数据库里，主要是出于以下几个实用场景考虑：

• 性能优化：如果你的JWT采用RS256这类非对称加密算法，jwt.verify()的解密校验过程会消耗一定计算资源。提前在数据库存储过期时间后，可以先执行简单的SQL查询判断token是否过期，对已过期的token直接返回无效，跳过解密步骤，减少服务器资源消耗。
• 批量清理无效数据：可以定期执行SQL语句（比如DELETE FROM USERS WHERE refresh_token_exp < NOW()）清理已过期的refresh token，避免数据库中积累大量无效记录，节省存储空间同时提升查询效率。
• 灵活的主动失效控制：当遇到用户修改密码、账号被锁定、主动登出所有设备等场景时，你可能需要让某个refresh token提前失效。如果只依赖JWT自身的exp字段，没法主动修改这个值；但如果数据库存了过期时间，可以直接将其更新为过去的时间，后续验证时只需查询数据库就能快速判定token无效，无需解析JWT。
• 审计与排查便利：在做系统审计或者排查认证问题时，直接从数据库查看过期时间就能快速判断token的有效性，不用每次都去解析JWT的payload内容，提升排查效率。

总结来说，存储过期时间不是必须的，但属于可选的优化手段，是否需要实现取决于你的系统规模、性能需求和业务场景。

内容的提问来源于stack exchange，提问作者the_mackster