基于JWT与MySQL实现多设备同时登录的方案咨询

核心思路 #

JWT本身是无状态令牌，一旦签发无法主动作废，要支持多设备共存登录，必须结合数据库记录用户的有效登录会话，在令牌验证环节额外校验其有效性。

具体实现步骤 #

1. 新增会话存储表 #

在MySQL中创建user_sessions表，用于记录每个用户的有效令牌信息：

CREATE TABLE user_sessions (
    id INT AUTO_INCREMENT PRIMARY KEY,
    user_id INT NOT NULL,
    jwt_token VARCHAR(2048) NOT NULL,
    device_info VARCHAR(255) COMMENT '设备标识，如设备型号、浏览器UA',
    created_at DATETIME DEFAULT CURRENT_TIMESTAMP,
    expires_at DATETIME NOT NULL,
    is_valid BOOLEAN DEFAULT TRUE,
    FOREIGN KEY (user_id) REFERENCES users(id) ON DELETE CASCADE
);

其中device_info用于区分不同登录设备，方便后续用户管理特定会话；is_valid标记令牌是否有效；expires_at需与JWT自身的过期时间保持一致。

2. 签发JWT时同步记录会话 #

用户登录成功后，生成JWT令牌的同时，将令牌信息插入user_sessions表：

• 为JWT设置合理的过期时间（比如1天）
• 把令牌内容、用户ID、设备标识、过期时间一并存入数据库

3. 验证JWT时增加数据库校验 #

每次接口请求验证JWT时，除了常规的签名校验、过期时间校验，还需执行以下步骤：

1. 解析JWT获取用户ID
2. 查询user_sessions表，确认该令牌对应的记录存在，且is_valid为TRUE、expires_at未过期
3. 只有满足所有条件，才允许请求通过

4. 处理令牌过期与刷新 #

• 令牌过期时，引导用户重新登录，或采用刷新令牌机制（刷新令牌同样需存入数据库）
• 使用刷新令牌成功获取新JWT后，可选择更新原有会话记录的令牌与过期时间，或新增一条会话记录并标记旧令牌失效

5. 支持用户主动管理会话（可选） #

提供接口让用户查看所有登录设备，或主动踢除指定设备：

• 查看设备：根据user_id查询user_sessions表，返回device_info、created_at等信息
• 踢除设备：将目标会话的is_valid设为FALSE，该设备的JWT下次验证将直接失败

注意事项 #

• 定期清理数据库中过期、无效的会话记录，可通过MySQL事件或定时任务实现
• JWT过期时间不宜过长，结合刷新令牌机制平衡安全性与用户体验
• 存储JWT时可选择存储令牌的哈希值（如SHA-256），避免明文存储敏感信息，验证时先哈希再查询数据库

内容的提问来源于stack exchange，提问作者Jobanpreet Singh