如何同步容器应用JWT令牌与子应用会话的过期时间？

问题背景 #

我们基于微前端+微服务架构开发，App1作为主应用（React + Spring Boot）负责认证并生成JWT令牌，通过react-iframe将令牌传递给子应用App2（React + Spring Boot）。App2通过/user接口验证令牌后初始化会话（生成JSESSIONID），但目前App2的会话过期时间与JWT令牌的过期时间不一致，需要同步两者的过期逻辑。

解决方案 #

1. 解析JWT过期时间，同步设置App2会话过期 #

在App2的/user接口验证JWT有效性后，直接从令牌中提取exp（过期时间）字段，将App2的会话过期时间设置为与令牌完全一致。

代码示例：

// App2的/user接口处理逻辑
Jws<Claims> jws = Jwts.parserBuilder()
    .setSigningKey(yourSigningKey)
    .build()
    .parseClaimsJws(jwtToken);
Date jwtExpiration = jws.getBody().getExpiration();

// 调整当前会话的过期时间
HttpSession session = request.getSession();
long timeUntilExpire = jwtExpiration.getTime() - System.currentTimeMillis();
if (timeUntilExpire > 0) {
    // 转换为秒级单位设置会话超时
    session.setMaxInactiveInterval((int) (timeUntilExpire / 1000));
}

该方案改动最小，直接让App2会话与JWT令牌同时过期，避免会话残留或提前失效。

2. 改用无状态认证，完全依赖JWT逻辑 #

放弃App2的会话机制，每次请求都携带JWT令牌并校验有效性，彻底消除会话与令牌过期不一致的问题。

调整步骤：

• App2前端在接口请求中携带JWT令牌到请求头：

// 以axios拦截器为例，自动添加令牌到请求头
axios.interceptors.request.use(config => {
    const token = new URLSearchParams(window.location.search).get('token');
    if (token) {
        config.headers.Authorization = `Bearer ${token}`;
    }
    return config;
});

• 修改App2后端安全配置，启用JWT认证过滤器并禁用会话：

http...
    .antMatchers("/user").permitAll()
    .addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class)
    .anyRequest().hasAuthority("SOME_AUTHORITY_PARSED_FROM_THE_TOKEN")
    .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);

此方案符合微服务无状态设计原则，无需维护会话生命周期。

3. 前端主动监听JWT过期，触发会话销毁 #

在App2前端定时检查JWT剩余有效期，当令牌过期时主动调用接口销毁会话，并通知主应用重新获取令牌。

代码示例：

// App2的useEffect中添加过期检查逻辑
import jwtDecode from 'jwt-decode';

useEffect(() => {
    const token = new URLSearchParams(window.location.search).get('token');
    if (!token) return;

    const checkExpiration = () => {
        const decodedToken = jwtDecode(token);
        const currentTime = Date.now() / 1000;
        if (decodedToken.exp < currentTime) {
            // 令牌已过期，销毁会话
            axios.post('/logout').then(() => {
                // 通过postMessage通知主应用重新认证
                window.parent.postMessage({ type: 'TOKEN_EXPIRED' }, '*');
            });
        }
    };

    // 每分钟检查一次令牌状态
    const checkInterval = setInterval(checkExpiration, 60000);
    return () => clearInterval(checkInterval);
}, []);

同时在App2后端实现销毁会话的接口：

@PostMapping("/logout")
public void logout(HttpServletRequest request) {
    HttpSession session = request.getSession(false);
    if (session != null) {
        session.invalidate();
    }
}

该方案能主动触发过期处理，提升用户体验。

方案选型建议 #

• 若需保留会话机制，优先选方案1，改动成本最低；
• 若追求微服务无状态设计，推荐方案2，从根源解决过期不一致问题；
• 若需主动过期通知，可结合方案3作为补充优化。

内容的提问来源于stack exchange，提问作者iPhoneJavaDev