ExpressJS框架下用户信息变更后高效重新生成JWT的实现方案咨询

1. 优先解决同请求重复执行鉴权的问题 #

这是成本最低的优化，因为你的中间件是全局注册，同请求可能被多次调用，只需要在verifyAuth开头判断是否已经完成过鉴权即可：

const verifyAuth = async (req, res, next) => {
  // 同请求已完成鉴权，直接跳过后续逻辑
  if (req.user) return next()
  // 原有逻辑不变
}

2. 解决跨请求重复查询数据库的问题 #

可以根据业务场景选择以下任意方案：

方案1：更新信息后主动返回新JWT（性能最高） #

JWT本身支持在payload中存储非敏感的用户信息，你可以在首次登录生成JWT时，就把用户名、邮箱直接写入payload，后续鉴权时不需要查数据库，直接解析JWT即可拿到用户信息。
当用户更新个人信息时，后端生成携带最新信息的新JWT，随更新接口的响应返回给前端，前端替换本地存储的旧JWT即可，后续请求都会携带最新信息的令牌。
如果需要作废旧JWT，可以给JWT加jti（唯一标识）字段，用Redis存储作废的JWT标识，过期时间和JWT本身的过期时间保持一致即可。
修改后的鉴权逻辑示例：

const verifyAuth = async (req, res, next) => {
  if (req.user) return next()

  const { authorization } = req.headers;
  if (!authorization) {
    return res.status(status.unauthorized).send({ ...error, message: 'No auth.' });
  }

  try {
    const token = authorization.split(' ')[1];
    // 直接解析JWT获取所有用户信息，无需查库
    const decoded = jwt.verify(token, process.env.JWT_SECRET);
    req.user = {
      accessToken: token,
      userId: decoded.userId,
      username: decoded.username,
      email: decoded.email,
    };
    next();
  } catch (e) {
    return res.status(status.unauthorized).send({ ...error, message: 'No auth.' });
  }
};

更新用户信息的接口补充逻辑：

// 示例：更新用户邮箱接口
router.post('/api/user/update-email', verifyAuth, async (req, res) => {
  const { newEmail } = req.body
  // 执行数据库更新操作
  await db.query('UPDATE users SET email = $1 WHERE id = $2', [newEmail, req.user.userId])
  // 生成新JWT返回给前端
  const newToken = jwt.sign(
    { userId: req.user.userId, username: req.user.username, email: newEmail },
    process.env.JWT_SECRET,
    { expiresIn: '24h' }
  )
  res.send({ success: true, accessToken: newToken })
})

方案2：增加缓存层降低DB查询压力 #

如果业务要求必须让旧JWT也能获取到最新的用户信息，可以引入Redis做缓存，缓存键为user:{userId}，缓存值为用户的核心信息，过期时间可根据业务对信息时效性的要求设置为5~30分钟：

• 鉴权时优先查Redis，命中则直接使用缓存的用户信息
• 缓存未命中时再查询数据库，同时把查询结果写入缓存
• 用户更新个人信息时，直接删除对应的缓存键，下次鉴权就会拉取最新的数据库数据更新缓存

方案选型建议 #

• 如果前端可以配合替换本地JWT，优先选方案1，性能最优，不需要额外的存储依赖
• 如果业务不允许前端做令牌替换，或者有强需求要求旧令牌必须拿到实时用户信息，选方案2，性能远高于直接查数据库

内容的提问来源于stack exchange，提问作者Özenç B.