如何存储刷新令牌？ [关闭]

Question

我正在研究有关存储刷新令牌的信息，但我对找到的信息不满意。我想知道您如何存储刷新令牌？

有些人习惯将它们存储在数据库中，或者像 Redis 一样缓存，但是我认为由于 JWT 的性质，它应该是无状态的。但我找不到任何其他解决方案，我不想将其存储在设备存储中，因为它可能会导致严重的安全漏洞。你能分享一下你的想法吗？

感谢您的回答

Answer 1

我想这取决于您要完成的任务或令牌的创建方式。我发现database 是存储refresh tokens 的好地方。为什么？因为令牌更像是密码，存储在数据库中时更容易保持与用户的关系。此外，无论用户使用什么设备，您都可以随时从数据库中访问令牌。对于其他方法，您可以在清除缓存或 cookie 时轻松释放令牌。如果您将它们存储到设备中，用户可能会切换设备。但是，您可以将由刷新令牌创建的expiring token 存储到设备/本地存储、cookie 或其他位置。仅在创建新的过期令牌时访问数据库以获取刷新令牌。