具有基于角色的访问控制的 JWT

Question

假设我想使用 JWT 进行身份验证，如果用户直接使用我的应用程序的 API，我想发出一个不会过期的令牌（但确实包含一个 ID，以便可以撤销它）。其次，假设我有一个基于角色的访问系统，我还想将用户的角色编码到令牌中。但是，如何解决用户角色可能会改变但令牌仍会对其进行编码的问题？显然，如果某人的角色更改为具有较少权限的东西，这将是一个安全问题吗？问题不仅限于此用例，理论上活跃的令牌也会有角色更改不会立即生效的相同问题。

我最初的解决方案也不是将角色/权限级别编码到主令牌中，而是使用仅在从更大的互联网通过应用程序边界时添加到我的系统请求的辅助令牌，但我还想知道其他人如何解决这个问题？

Answer 1

如果您需要使令牌失效，则必须跟踪您发布的令牌，并确保您可以在某个时间点“删除”它们。

我的建议是使用一个令牌，并在某处跟踪 USER 和 TOKEN_VALID_IF_ISSUED_AFTER 之间的关系。

此时，当用户注销时，当他们的权限更改时，当他们更改密码时... ...您可以使用$USER_ID 和NOW() 在此表中插入一条记录。

下次令牌通过您的 API 时，您通过 iat 声明验证它是在 TOKEN_VALID_IF_ISSUED_AFTER 之后发出的 - 如果不是，用户将必须获得一个全新的令牌。