共计 1768 个字符，预计需要花费 5 分钟才能阅读完成。
原文
神奇的 JSON Web Tokens（JWT）
JSON Web Tokens (JWT) 是一种无状态解决用户身份验证的办法。什么意思?
JWT 帮忙建设认证机制而不将身份验证状态存储在任何存储中，无论是会话内存还是数据库，因而, 当检查用户的身份验证状态时，不须要拜访会话内存或执行数据库查问。相同, 依据你抉择的用户 payload 生成 token 并在客户端的申请中应用它来标识服务器上的用户 🛂
因而，基本上，每当创立 token 时，就能够永远应用它，或者直到它过期为止。JWT 生成器能够在生成的时候有一个指定过期工夫的选项。
不过你想让曾经生成的 token 生效该怎么办呢？当用户登记或者更改明码的时候你该做些什么呢🤔
登记
通常在应用 JWT 做身份验证时客户端将 token 贮存在某个中央，并将附加到每个须要身份验证的申请上，所以登记的第一件事就是删除贮存在客户端上的 token（例如 浏览器本地贮存）在这种状况下客户端没有了 token 申请须要认证的接口天然会失去未认证的响应。不过这就够了吗？这个是防小人不防君子的做法实际上在登记之前通过一些伎俩将 token 拿到手在登记后仍然能够应用！不信的的话能够本人尝试下。
让咱们从后盾登记 token，你可能会说桥豆麻袋这对于 jwt 来说并不是那么简略，你并不能像删除 cookie 和 session 那样来删除 token。
实际上，JWT 的目标与 session 不同，不可能强制删除或生效曾经生成的 token。
Token 过期
是的 Token 能够设置过期。
在生成 token 时能够指定过期工夫，你能够在无效的 paylaod 中加上 exp 字段就像这样：
{
"sub": "1234567890",
"name": "John Doe",
"iat": 1516234022,
"exp": 1516239022
}exp 字段为工夫戳，这里的 iat 字段代表公布工夫，此 Token 设置为在公布后 5 秒过期⏰。
如果你不想领有永远无效的 Token 你应该给你的 JWT 设置一个正当的到期工夫，工夫的长短取决于你的利用，咱们将在这里应用时长为一天 Token，并在登录操作中生成它们，对于 NodeJS 应用程序，代码应该如下所示：
const jwt = require('jsonwebtoken');
const payload = {
"sub": "1234567890",
"name": "John Doe",
"iat": 1516234022
}
const token = jwt.sign(payload, 'your-secret', {expiresIn: '1d'})当这个 token 过期时验证器会返回一个 error，而且后端一旦收到须要受权的申请，就会以未受权的响应状态进行响应。通常，你将从客户端删除令牌并将用户重定向到登录页面。因而，在这个例子中，所有用户在应用你的应用程序 1 天后将主动登记。
很酷，但我还是想登记！
如前所述，你不能在 Token 创立后手动使其过期，你实际上不能像应用 session 那样在服务器端应用 JWT 登记🙀或者，除非，你能够 …
应用 JWT 应该是无状态的，这意味着你应该将所需的所有存储在 payload 中，并跳过对每个申请执行 DB 查问，然而如果你打算有一个严格的登记性能，无奈期待 Token 主动过期，即便你曾经从客户端革除了 Token，而后你可能须要违反无状态规定并执行一些查问。
有一种实现可能是，存储一个所谓的“黑名单”所有 Token 是无效的，还没有到期你能够筛选一个领有 TTL 性能的数据库，TTL 被用于为 Token 记录 Token 过期之前残余的工夫量。Redis 是一个很好的抉择，这将容许在内存中快速访问列表，而后，在某个中间件中，运行在每个受权申请上，你应该查看提供的令牌是否在黑名单中🕵️，如果在的话就抛出一个未认证异样，如果没有让它通过，JWT 验证将解决它并确定它是否已过期或依然无效。
论断
仿佛，在应用 JSON Web 令牌时创立洁净的登记流程并不那么简略，你应该让 Token 放弃活动状态，直到它本人过期为止；或者，如果你心愿在用户登记时限度 Token 的应用，则抉择贮存一个 Token 黑名单。总而言之，只需遵循以下 4 个要点：
- 设置令牌的正当过期工夫
- 登记时从客户端删除存储的 Token
- 领有不再流动 Token 的数据库，这些 Token 仍有一些生存工夫
- 针对每个申请依据黑名单查问受权状况
