Spring Boot 中 JWT 的最佳实践是什么？

Question

我想用 Spring Boot 和 JWT 开始一个项目，我看到了一些将刷新令牌保存在数据库中的示例，所以我的问题是我必须将刷新令牌插入数据库，或者做我有另一种最佳实践方式吗？ 如果我必须插入数据库，为了删除过期的令牌，我应该在 Spring?

中找到一份工作

非常感谢

Answer 1

在刷新令牌流的情况下，安全管理刷新令牌是客户端的责任。访问令牌过期后，客户端可以使用先前保存的刷新令牌来获取新的访问权限和可选的刷新令牌。当您询问在服务器端存储刷新令牌的方法时，我认为将其存储在数据存储中以供以后验证，同时发布新的访问令牌具有一个重要优势。通过这样做，您可以随时限制或撤销对服务的访问。如果刷新令牌的验证时间较长，并且服务器在刷新令牌流期间未使用新的访问令牌发出新的刷新令牌，这将是有意义的。