如何验证JWT有效性及处理账号封禁后JWT仍可用问题

JWT本身是无状态令牌，一旦签发就无法主动撤销，所以需要额外机制来处理用户状态变更后的令牌失效问题，以下是几种可行的解决方案：

方案1：实现令牌黑名单机制 #

当用户被封禁或删除时，将其当前有效的JWT加入黑名单，直到令牌自然过期。推荐用Redis这类高性能缓存存储黑名单，利用其自动过期特性减少维护成本。

代码调整步骤： #

1. 生成JWT时添加唯一标识jti（JWT ID）：

private String generateJsonWebToken(Set<Role> roles) {
    String jti = UUID.randomUUID().toString(); // 生成唯一令牌ID
    Set<String> groups = Set.of(roles.stream().map(Role::getValue).toArray(String[]::new));
    // 注意：原代码中expiresAt的3600是毫秒，实际应为3600*1000才是1小时有效期
    return Jwt.issuer("https://example.com")
            .subject("myproject-2022-jwt")
            .upn("myproject-2022-jwt")
            .jti(jti) // 添加唯一JWT ID声明
            .claim(Claims.birthdate.name(), "1985-10-25")
            .groups(groups)
            .expiresAt(System.currentTimeMillis() + 3600 * 1000)
            .sign();
}

2. 用户封禁时，将jti存入Redis并设置与令牌一致的过期时间：

// 假设已配置RedisTemplate实例
public void addTokenToBlacklist(String jti, long expireMillis) {
    redisTemplate.opsForValue().set("jwt_blacklist:" + jti, "blocked", expireMillis, TimeUnit.MILLISECONDS);
}

3. 验证JWT时先检查黑名单：

public boolean isTokenValid(String token) {
    // 先做常规的签名、过期时间校验
    Jwt parsedJwt = Jwt.parse(token);
    if (!parsedJwt.verifySignature() || parsedJwt.expiresAt() < System.currentTimeMillis()) {
        return false;
    }
    // 检查令牌是否在黑名单中
    String jti = parsedJwt.jti();
    return !redisTemplate.hasKey("jwt_blacklist:" + jti);
}

方案2：缩短JWT有效期+刷新令牌机制 #

把JWT的有效期缩短到15分钟以内，同时签发一个有效期更长的刷新令牌（比如7天）。用户用短有效期JWT发起请求，过期后用刷新令牌换取新的JWT。当用户被封禁时，直接失效对应的刷新令牌，用户无法获取新JWT，旧JWT过期后就无法继续操作。

注意：刷新令牌需要存储在服务器端（数据库或Redis），并关联用户状态，每次刷新令牌时先校验用户是否正常。

方案3：实时校验用户状态 #

每次JWT常规校验通过后，额外查询数据库或缓存，检查用户当前的状态（是否封禁、是否存在）。这种方式实现简单，但会增加每次请求的开销，适合并发量不高的场景。

示例代码： #

// 假设JWT的subject存储了用户ID，先解析获取用户ID
public boolean isUserActive(String token) {
    Jwt parsedJwt = Jwt.parse(token);
    String userId = parsedJwt.subject();
    User user = userRepository.findById(userId).orElse(null);
    return user != null && !user.isBlocked();
}

方案4：引入版本号校验 #

在JWT中加入用户状态版本号（比如version声明），当用户状态变更时，服务器端更新该用户的版本号。每次验证JWT时，对比令牌中的版本号与服务器端存储的版本号，不一致则拒绝请求。

内容的提问来源于stack exchange，提问作者Tristate