存儲黑名單JWT

Question

我需要存儲一個列入黑名單的令牌，到目前爲止我看到的例子都是關於將它們存儲在redis中，如果它們沒有被列入黑名單，那麼應用程序會查詢另一個數據庫，如mongo來獲取用戶。 我想將它們存儲在jti聲明的用戶子文檔中，這是一個好主意，實際上有多少用戶可以擁有黑名單令牌。

Answer 1

如果使用jti聲明還可以減輕重播攻擊，那麼基本上你想在處理一次之後「黑名單」所有的。因此，即使是每個用戶，您的列表也可能會變大。

一般來說，我沒有看到在每個用戶的基礎上存儲黑名單令牌的好處。相反，如果您稍後想要將黑名單功能劃分爲獨立的服務/體系結構，這可能會限制您在某個時間點的縮放比例，這可能是您看到其他人這樣做的原因。