这是一个创建于 390 天前的主题，其中的信息可能已经有所发展或是发生改变。
之前的一个项目是 RESTful API （可能也不是很标准啦），用的 JWT 做认证。现在要加个会话管理的功能，可以查看登录的会话（包括登录方式，IP 等信息），可以吊销某个会话。
目前想按照这篇文章的方式实现（结合 session 和 jwt 的方式）： https://clerk.com/blog/combining-the-benefits-of-session-tokens-and-jwts
请问各位大佬们，你们都是怎么实现的啊？
第 1 条附言 · 2024-10-28 21:36:45 +08:00
看了一些有这个功能的网站（ GitHub ，Postman ），好像 cookie 里也没有 jwt
第 2 条附言 · 2024-10-29 09:27:20 +08:00
感谢各位大佬，决定还是改成 session 认证吧
 |
1
wu67 2024-10-28 20:56:24 +08:00 via Android
redis 里面存黑名单，命中就要求重登？
|
 |
2
codehz 2024-10-28 20:58:00 +08:00
非要说的话，黑名单模式可以用布隆过滤器（定期重建并分发到每一个处理节点），有假阳性的时候才会去查数据库
|
 |
3
sagaxu 2024-10-28 21:00:58 +08:00  3
加了集中式存储的 JWT ，那跟直接用 session 有啥区别
|
 |
4
chobitssp 2024-10-28 21:01:32 +08:00
jwt 的颁发时间小于吊销时间就踢出
|
 |
5
vZexc0m 2024-10-28 21:16:26 +08:00
和 JWT 的设计初衷背道而驰了。你这种直接用 cookie ，然后服务端管理 cookie 就行。
|
 |
6
JUSTIGNOREME OP @wu67 不太好用 redis ，因为是 windows 系统
|
|
7
JUSTIGNOREME OP @sagaxu 我看那个文章里的是 jwt 用于请求，签发新 token 的时候用 session ，不过用啥不重要啦，主要是实现这个功能。
|
|
8
JUSTIGNOREME OP @vZexc0m 嗯嗯，没得办法，这个功能好像如果只用 JWT 的话不太好实现
|
 |
9
paradox8599 2024-10-28 22:31:09 +08:00 via Android
那应该就不用 jwt 了，jwt 主打一个无状态
|
 |
10
crysislinux 2024-10-28 22:45:44 +08:00 via Android
还是用传统 session 吧，jwt 干用户登录这个活儿是真的不太方便
|
 |
11
shakaraka PRO 就 session 啊，jwt 玩的是无状态，把 jwt 玩成有状态的话那么和不就是重新发明 session ？
|
 |
12
hallDrawnel 2024-10-29 01:35:55 +08:00
直接用 session
或者不好改得话，做成 jwt 版本的 session 就 ok 。不用拘泥于标准。 |
 |
13
vjnjc 2024-10-29 02:21:21 +08:00 via Android
正在做登录，一楼正解
|
 |
14
chendy 2024-10-29 08:42:08 +08:00
对于客户端，传统 token 机制（包括 cookie 里放 sessionid ）默秒全
jwt 还是留给服务内部互相调用使用吧 |
 |
15
Spute 2024-10-29 09:23:58 +08:00
jwt 的主要优点就是无状态，对于服务端来说无需保存会话状态。如果有主动撤销 jwt 的需求，好像只能使用黑名单机制，这样一来又变成有状态了。
|
 |
16
fffq 2024-10-29 11:24:13 +08:00
session 放 cookie ，那 cookie 禁用了咋办？
|
 |
17
StoneHuLu 2024-10-29 14:17:40 +08:00
你们说的 session 是存内存的 session 还是说内部实现是存 redis 的，如果是前者，需要横向扩展，有负载均衡的场景不就炸了吗，如果是后者，那不就是一般的 token 存 redis 的方式么
|
|
19
JUSTIGNOREME OP 不是面向 C 端的，所以基本不会有这种情况。
|
 |
20
monkeyk 2024-10-30 19:07:25 +08:00
JWT 的 payload 中有一个字段叫 jti ，唯一的，是可以用来作为会话 ID 存的；
做会话管理的话，存 jti 就可以了；能用 redis 使用 TTL 属性过期自动释放，就能实现一套完整的会话管理。 但如何客户端只是浏览器的话，session 就够了。 |
 |
21
fuxinya 2024-11-09 09:42:26 +08:00
access token 有效期设置短一点，过期后，拿着 refresh token 去换取 access token ，换取时，校验是否要被踢下线即可
|
Select Language