存储黑名单JWT

Question

我需要存储一个列入黑名单的令牌，到目前为止我看到的例子都是关于将它们存储在redis中，如果它们没有被列入黑名单，那么应用程序会查询另一个数据库，如mongo来获取用户。 我想将它们存储在jti声明的用户子文档中，这是一个好主意，实际上有多少用户可以拥有黑名单令牌。

Answer 1

如果使用jti声明还可以减轻重播攻击，那么基本上你想在处理一次之后“黑名单”所有的。因此，即使是每个用户，您的列表也可能会变大。

一般来说，我没有看到在每个用户的基础上存储黑名单令牌的好处。相反，如果您稍后想要将黑名单功能划分为独立的服务/体系结构，这可能会限制您在某个时间点的缩放比例，这可能是您看到其他人这样做的原因。