セッションと失効サービスを使用したJWT認証

Question

JWT認証は、セッションベース認証ではなく、分散システムで実装する手間が軽減されると考えられています。従来のセッション認証では、共有キャッシュ（単一障害点）または分散キャッシュ（独自の複雑さがあります）が必要です。

トークンブラックリストなどの失効サービスを追加しないでください。たとえば、ユーザーを「ログアウト」するために、上記のセッション認証の同じ面倒を導入しますか？

Answer 1

はい、そうです。ブラックリストを追加すると、サーバースペースを必要としないなど、JWTの利点の一部が失われます。複数のサーバーでキャッシュを使用する場合は、前述のようにレプリケーションメカニズムが必要です。

しかし、ブラックリストを使用して小さなリフレッシュ時間を設定する代わりに、トークンが期限切れになることが一般的に想定されています。

hereを参照して、トークンを無効にする一般的な手法を確認してください。