JHipster应用JWT过期无法自动刷新问题排查咨询

这种情况我在维护JHipster项目时碰到过好几次，针对同一用户反复出现JWT过期且无法自动刷新的问题，大概率是下面这几个原因：

• 刷新令牌本身已失效或过期
  JHipster的“记住我”功能依赖存在数据库persistent_token表中的持久化刷新令牌。你可以先去数据库里查该用户的这条记录：

  • 看看token_validity_end_date字段是否已经早于当前时间，如果是，说明刷新令牌本身已经过期，自然无法触发访问令牌的刷新；
  • 另外，如果用户在其他设备登录过，旧的刷新令牌可能被标记为失效，或者这条记录被意外删除，也会导致无法刷新。

• 前端请求刷新的逻辑异常
  JHipster前端（Angular/React）会在检测到访问令牌过期时，自动调用刷新接口（默认是/api/authenticate/refresh）来获取新令牌，但如果前端出问题就会失效：

  • 检查前端的HTTP拦截器是否正确处理了401错误，有没有触发刷新请求的逻辑；
  • 如果用户浏览器禁用了Cookie，或者清除了存储刷新令牌的HttpOnly Cookie，前端就无法携带刷新令牌去请求，自然没法刷新；
  • 浏览器的SameSite Cookie策略如果设置得过于严格，也可能导致刷新请求无法携带Cookie。

• 后端刷新逻辑或配置问题

  • 先确认该用户的账号状态是否正常：如果账号被锁定、禁用，即使刷新令牌有效，后端也会拒绝刷新请求；
  • 检查application.yml（或application.properties）里的jwt.remember-me.token-validity-in-seconds配置项，是不是被改成了很短的时间，导致刷新令牌快速过期；
  • 虽然日志里显示的是UTC时间，但还是可以排查下服务器系统时间是否和标准UTC时间有偏差，极端情况下时间错误也会导致令牌过期判断异常。

• 用户浏览器环境的特殊情况
  比如用户开启了隐私模式浏览，或者浏览器自动清除了Cookie，导致刷新令牌丢失。这种情况下，用户只能重新登录来生成新的令牌和刷新令牌。

内容的提问来源于stack exchange，提问作者Paulo Henrique de Siqueira