调用destroy方法后JWT Token未销毁？jwt-redis使用问题求助

问题根源 #

你在调用jwtr.destroy()时错误传入了第二个参数process.env.JWT_KEY，但jwt-redis的destroy方法第二个参数是验证选项对象，而非密钥。这个错误导致方法无法正确解析令牌的jti（JWT唯一标识），进而无法从Redis中删除对应的令牌记录，所以verify仍能通过。

另外，代码存在连接开销问题：每次调用方法都创建新的Redis客户端，会产生大量不必要的连接开销，甚至可能引发连接泄漏，应该复用同一个客户端实例。

修复后的代码 #

全局初始化Redis客户端和JWTR实例，避免重复创建，同时修正destroy的调用方式：

const redis = require("redis");
const JWTR = require("jwt-redis").default;

// 全局初始化Redis客户端
const redisClient = redis.createClient();
redisClient.on("error", (err) => console.error("Redis Client Error", err));
// 一次性建立连接
(async () => {
  await redisClient.connect();
})();

// 全局初始化JWTR实例
const jwtr = new JWTR(redisClient);

const generateJWTToken = async (data) => {
  // 建议设置令牌过期时间，增强安全性
  const token = await jwtr.sign(data, process.env.JWT_KEY, { expiresIn: "1h" });
  return token;
};

const verifyJWTToken = async (token) => {
  try {
    const data = await jwtr.verify(token, process.env.JWT_KEY);
    return data;
  } catch (err) {
    // 处理验证失败场景（令牌过期、已销毁、签名无效等）
    throw new Error("Invalid or expired token");
  }
};

const destroyJWTToken = async (token) => {
  // 正确调用destroy，无需传入密钥
  await jwtr.destroy(token);
};

额外优化建议 #

• 强制设置令牌过期时间：即使令牌未被主动销毁，也会自动过期，降低被滥用的风险。
• 完善错误处理：在验证和销毁逻辑中添加错误捕获，处理Redis连接异常、令牌解析失败等情况。
• 复用客户端实例：全局初始化Redis客户端和JWTR实例，避免重复创建连接，提升服务性能。

Node.js销毁JWT的其他方案 #

除了jwt-redis，还有这些常用方案：

• 黑名单机制：用Redis维护已注销令牌的黑名单，验证时先检查令牌是否在黑名单中（适合不依赖jwt-redis的场景）。
• 短令牌+刷新令牌模式：签发短有效期的访问令牌，搭配长有效期的刷新令牌。注销时仅销毁刷新令牌，访问令牌自动过期后失效。
• 分布式会话存储：将用户会话信息（含令牌状态）存入Redis或数据库，验证时查询会话状态（逻辑类似jwt-redis，但更灵活）。

内容的提问来源于stack exchange，提问作者Drashti Kheni