NodeJS中JWT令牌存储多字段是否可行？封禁校验方案咨询

问题背景 #

我正在使用NodeJS、ExpressJS、MongoDB和React Native实现认证功能，有以下疑问：

1. 像如下示例这样在JWT令牌对象中存储多个字段是否可行？

const token = jwt.sign(
          {
            userId: user._id,
            isAdmin: user.isAdmin,
            isBanned:user.banned.isBanned
          },
          process.env.TOKEN_KEY,
          {
            expiresIn: "24H",
          }
        );

2. 我添加isBanned字段是为了前端收到令牌后直接校验该状态，无需重新请求用户数据，这是否是校验用户封禁状态的最优方案？
3. 令牌中存储3个字段是否可行？

解答 #

1. JWT存储3个（或多个）字段完全可行

JWT的Payload部分设计初衷就是用来存储非敏感的业务标识字段，只要你存储的内容不包含密码、密钥等敏感信息，存3个甚至更多字段都没有问题。你这里的userId、isAdmin、isBanned都是用户状态类的非敏感数据，完全符合Payload的使用场景。

需要注意两点：

• Payload是Base64编码而非加密，任何人都可以解码查看内容，绝对不能存放敏感信息；
• 字段越多JWT体积越大，但你这三个字段的体积可以忽略，不会影响传输效率。

2. 用JWT存储isBanned并非校验封禁状态的最优方案

这个方案的致命问题是JWT一旦签发，在过期前无法主动修改内容。如果用户在令牌有效期内被封禁，前端持有的旧令牌里的isBanned还是false，会导致封禁操作出现延迟，直到令牌过期才会同步状态，存在明显的安全漏洞。

更可靠的方案是：

• JWT里只存userId这类不会频繁变更的标识字段；
• 前端发起核心业务请求时，后端验证JWT有效性后，从MongoDB实时查询用户的isBanned状态，再决定是否允许请求；
• 若想优化性能，可以用Redis给用户状态加短期缓存（比如5分钟），兼顾实时性和请求效率。

只有当你的业务对封禁延迟容忍度极高（比如允许用户继续操作到令牌过期），才适合用JWT存isBanned，绝大多数场景下，实时查询才是更安全的选择。

内容的提问来源于stack exchange，提问作者Zaki Kendil