如何立即失效JWT令牌？

嘿，我完全懂你现在的困扰——拉黑用户后，哪怕删了相关记录，JWT令牌只要没到过期时间，用户照样能拿着它访问系统，这确实挺闹心的。毕竟JWT本身是无状态的，一旦签发出去，默认情况下除非过期，否则都会被认作有效。不过咱们有几种靠谱的办法能解决这个问题，结合你的C#场景给你详细说说：

• 令牌黑名单方案（最常用也最实用）
  核心思路是维护一个“黑名单”，把需要立即失效的JWT标识（比如令牌的唯一IDjti）存进去，每次验证JWT前先检查这个黑名单，有匹配的就直接拒绝访问。

  • 具体步骤：
    1. 生成JWT的时候，一定要加入jti（JWT ID）声明，每个令牌对应一个唯一的ID，这样方便后续精准拉黑。
    2. 拉黑用户时，把该用户当前有效的JWT的jti存入黑名单（推荐用Redis，因为它支持设置过期时间，可以和JWT的过期时间保持一致，自动清理过期的黑名单条目，不用手动维护）。
    3. 在你的认证中间件里，每次完成JWT签名验证后，去黑名单里查一下当前令牌的jti是否存在，如果存在就返回401未授权。
  • 结合你的BlockUser方法的代码示例：

    public async Task<bool> BlockUser(Guid id)
    {
        var user = await _userManager.FindByIdAsync(id.ToString());
        if (user == null) return false;
    
        // 更建议给用户加个IsBlocked字段标记拉黑，而不是直接删除用户（方便后续恢复）
        user.IsBlocked = true;
        var updateResult = await _userManager.UpdateAsync(user);
        if (!updateResult.Succeeded) return false;
    
        // 获取当前请求中的JWT令牌（如果是拉黑其他用户，可能需要从数据库取出该用户所有登录的jti）
        var authHeader = _httpContextAccessor.HttpContext.Request.Headers["Authorization"].ToString();
        if (!string.IsNullOrEmpty(authHeader) && authHeader.StartsWith("Bearer "))
        {
            var token = authHeader.Replace("Bearer ", "");
            var jwtHandler = new JwtSecurityTokenHandler();
            if (jwtHandler.CanReadToken(token))
            {
                var jwtToken = jwtHandler.ReadJwtToken(token);
                var jti = jwtToken.Claims.FirstOrDefault(c => c.Type == JwtRegisteredClaimNames.Jti)?.Value;
                if (!string.IsNullOrEmpty(jti))
                {
                    // 存入Redis黑名单，过期时间和JWT的有效期一致
                    await _redisCache.SetStringAsync($"Blacklist:{jti}", "invalidated", new DistributedCacheEntryOptions
                    {
                        AbsoluteExpiration = jwtToken.ValidTo
                    });
                }
            }
        }
    
        return true;
    }
    

  • 补充：如果用户有多端登录，建议在用户每次登录时，把生成的jti和用户ID关联存在数据库里，拉黑时批量取出所有该用户的jti加入黑名单，这样能覆盖所有登录状态。

• 短有效期JWT+Refresh Token方案
  把JWT的有效期设得很短（比如15分钟），然后用Refresh Token来获取新的JWT。拉黑用户时，直接失效该用户所有的Refresh Token，这样旧JWT过期后，用户就无法获取新的令牌，自然就不能继续访问了。

  • 实现要点：
    1. 登录接口返回短有效期的JWT和一个长期有效的Refresh Token，Refresh Token要存在数据库里，关联用户ID。
    2. 拉黑用户时，删除该用户所有的Refresh Token记录。
    3. 当用户用Refresh Token请求新JWT时，先检查用户是否被拉黑，以及Refresh Token是否有效，只要用户被拉黑就拒绝发放新令牌。

• Claims状态核验方案
  在JWT的Claims里加入一个用户状态相关的字段（比如UserStatus），生成JWT时把用户当前的状态（正常/拉黑）写入Claims。每次验证JWT时，除了检查签名和过期时间，还要去数据库核对用户的当前状态，如果数据库里用户已经被拉黑，不管JWT是否过期，都拒绝访问。

  • 缺点：每次请求都要查数据库，会增加数据库压力，适合小流量的系统。

总的来说，最推荐的是第一种令牌黑名单方案，用Redis来实现的话，性能和安全性都能兼顾，而且能真正做到立即失效JWT令牌。

备注：内容来源于stack exchange，提问作者Mohammed Naseek