无服务场景下第三方JWT的正确存储方案是什么？

首先明确核心原则：该令牌属于服务端和第三方OAuth2服务交互的凭证，绝对不能暴露给客户端，所有存储和刷新逻辑必须完全在服务端执行。

根据你的项目规模和部署场景，可以选择以下几种方案：

方案1：内存缓存（适合单实例部署/小型项目） #

直接在Next.js服务端的内存中缓存令牌，搭配过期时间校验，是成本最低的实现方式。

• 可以用lru-cache这类轻量缓存库，比直接用全局变量更稳妥，自带过期时间管理能力
• 存储时将过期时间设置为比第三方给出的1小时有效期短1~5分钟，提前刷新避免临界时间请求失败
• 参考实现代码：

// lib/oauthToken.js
import LRU from 'lru-cache'

// 初始化缓存，只需要存1个全局的第三方接口令牌
const tokenCache = new LRU({
  max: 1,
  ttl: 3540 * 1000 // 缓存3540秒，比1小时少1分钟
})

async function fetchNewToken() {
  // 此处替换为你向第三方OAuth2服务申请令牌的逻辑
  const res = await fetch('https://third-party.com/oauth/token', {
    method: 'POST',
    body: new URLSearchParams({
      grant_type: 'client_credentials',
      client_id: process.env.OAUTH_CLIENT_ID,
      client_secret: process.env.OAUTH_CLIENT_SECRET
    })
  })
  const data = await res.json()
  return data.access_token
}

export async function getValidToken() {
  let token = tokenCache.get('oauth2_token')
  if (!token) {
    token = await fetchNewToken()
    tokenCache.set('oauth2_token', token)
  }
  return token
}

• 缺点：多实例部署时每个实例会独立申请一次令牌，若第三方接口有调用频率限制可能会触发限流。

方案2：分布式缓存（适合多实例部署/中大型项目） #

用Redis这类分布式缓存存储令牌，实现多实例共享令牌，避免重复申请。

• 存令牌时同样设置3540秒的过期时间
• 若申请令牌的接口限流严格，可以搭配分布式锁，保证同一时间只有一个实例触发令牌刷新逻辑
• 所有实例读取令牌时统一查Redis，不需要重复申请

方案3：数据库存储（适合令牌低频刷新/已有数据库架构的项目） #

如果你的项目已经配套了数据库，可以单独建一张表存储第三方令牌、过期时间、更新时间三个核心字段。

• 每次调用第三方接口前先查表判断令牌是否过期，未过期直接使用，过期再重新申请更新表记录
• 性能比缓存方案低，适合对第三方接口调用频率不高的场景

通用注意事项 #

• 所有OAuth2的客户端ID、客户端密钥必须存在服务端环境变量中，不能硬编码到代码里
• 所有和第三方接口的交互必须走Next.js的服务端路由（App Router的Route Handler或者Pages Router的API路由）转发，绝对不能让前端直接携带令牌调用第三方接口

内容的提问来源于stack exchange，提问作者Darryl Morley