リフレッシュ後に以前のJWTトークンを無効にする方法

Question

私たちのアプリケーションでは、新しいJWTトークンは、ユーザーがリクエストを送信するたびにクッキーに返されます。ユーザが短時間に複数のリクエストを行うと、それぞれにほぼ完全に存続する複数の有効なトークンが存在します。もちろん、ブラウザは最新のものを使用していますが、誰かが以前のものを使用してユーザーを偽装する可能性があります。

新しいトークンをディスパッチするときに以前のトークンを無効にする方法はありますか、最後のトークンに寿命があまりないときにのみ新しいトークンをディスパッチする唯一の選択肢ですか？

Answer 1

トークンを「無効にする」唯一の方法は、それらをステートフルに追跡することです。

これは通常、有効で無効なトークンのキー/値キャッシュを保持し、各要求時にこれらのリストに対して着信要求トークンをチェックするようなことを意味します。

このようにすることの欠点は、（トークンの有効性について中央ストアにチェックしているので）JWTの「ステートレス」メリットをたくさん失うことですが、メリットはより安全にできるということですあなたがもはやサービス可能にしたくないトークンを即座に取り消すことによって。

1つの回避策は、乱用を最小限に抑えるために、アクセストークンを極短い期間（5分程度）にすることです。