在 JWT 中存储什么？

Question

你们如何在多个设备上处理同一个用户？ {admin: true} 之类的数据除了更改它的设备之外不会变得陈旧吗？

这甚至应该在 JWT 中吗？如果没有，而我们只使用用户 ID，那会不会就像一个基于 cookie 的会话，因为我们将状态存储在服务器上？

Answer 1

JWT RFC 建立了三类声明：

• 已注册声明，例如 sub、iss、exp 或 nbf

• 公开声明具有公开名称或名称 registered by IANA，其中包含应唯一的值，例如 email、address 或 phone_number。见full list

• 私人声明在您自己的上下文中使用，价值观可能会发生冲突

这些声明都不是强制性的

JWT 是自包含的，应避免使用提供必要数据的服务器会话来执行身份验证（无需服务器存储和数据库访问）。因此，role info 可以包含在 JWT 中。

当使用多个设备时，有多种原因在到期前撤销令牌，例如当用户更改密码、权限或被管理员删除的帐户时。在这种情况下，您需要一个黑名单或替代机制来拒绝令牌

黑名单可以包括令牌唯一 ID jti 或在更新用户的关键数据（密码、权限等）和 currentTime - maxExpiryTime < last iss 后简单地设置一个条目 (sub - iss)。当currentTime - maxExpiryTime > last_modified 时可以丢弃该条目（不再发送未过期的令牌）。

---

注册索赔

以下声明名称已在 Section 10.1. 建立的 IANA“JSON Web 令牌声明”注册表中注册

• iss（颁发者）：标识颁发 JWT 的委托人。
• sub（主题）：标识作为 JWT 主题的主体。必须是唯一的
• aud（受众）：标识 JWT 的目标接收者（字符串数组/uri）
• exp（过期时间）：标识过期时间（UTC Unix），在此之后您必须不再接受此令牌。它应该在发布时间之后。
• nbf(not before)：标识 UTC Unix 时间，在该时间之前不能接受 JWT
• iat（发布于）：标识发布 JWT 的 UTC Unix 时间
• jti（JWT ID）：为 JWT 提供唯一标识符。

示例

{
    "iss": "stackoverflow",
    "sub": "joe",
    "aud": ["all"],
    "iat": 1300819370,
    "exp": 1300819380,
    "jti": "3F2504E0-4F89-11D3-9A0C-0305E82C3301"
    "context": {
        "user": {
            "key": "joe",
            "displayName": "Joe Smith"
        },
        "roles":["admin","finaluser"]
    }
}

在此处查看替代方案https://stackoverflow.com/a/37520125/6371459