使用 JWT（JSON Web 令牌）建立安全 API 時，處理使用者登出可能會很棘手。由於 JWT 是無狀態(tài)的，因此沒有現(xiàn)成的方法可以在註銷後使令牌失效。這就是黑名單和 Redis 等工具發(fā)揮作用的地方。如果您對這些概念不熟悉，請不要擔心！本指南將逐步解釋一切，並協(xié)助您實施實用的解決方案。

了解無狀態(tài)性和 JWT

無狀態(tài)系統(tǒng)

• 無狀態(tài)系統(tǒng)不在伺服器上儲存任何使用者會話資訊。
• 每個請求都攜帶伺服器處理它所需的所有必要資料（例如 JWT）。

智威湯遜

• JWT 包含使用者資料（如 ID 和角色）並由伺服器簽署。
• 一旦發(fā)布，伺服器不需要儲存令牌或會話詳細資訊。
• 問題：如果使用者註銷，他們的 JWT 仍然有效，直到過期。

什麼是黑名單？

黑名單是已失效的代幣列表。當用戶登出時，他們的令牌將添加到此列表中。每次發(fā)出請求時，伺服器都會檢查該令牌是否在黑名單中。如果是，則請求被拒絕。

實施黑名單的步驟：

1. 將無效的標記儲存在資料結構（例如陣列、Set 或資料庫）中。
2. 處理請求時，驗證token不在黑名單中。
3. 加入清理機制，將過期代幣從黑名單中刪除。

為什麼是 Redis？

Redis 是一個高效能的記憶體鍵值資料庫。它非常適合將 JWT 列入黑名單等用例，因為：

• 速度：Redis 每秒可以處理數(shù)千次讀取/寫入操作。
• 分散式：多個伺服器可以共用同一個Redis實例以實現(xiàn)資料一致。
• TTL（存活時間）：Redis 可以在指定的持續(xù)時間後自動刪除條目。

如何在沒有 Redis 的情況下開始

如果您對這些概念不熟悉，請從簡單的記憶體解決方案開始：

const blacklist = new Set();

// Add token to blacklist
authController.logout = (req, res) => {
  const token = req.headers.authorization.split(" ")[1];
  blacklist.add(token);
  res.status(200).json({ message: "Logged out successfully" });
};

// Middleware to check token validity
middleware.verifyToken = (req, res, next) => {
  const token = req.headers.authorization.split(" ")[1];
  if (blacklist.has(token)) {
    return res.status(401).json({ message: "Invalid token" });
  }
  next();
};

這種方法適用於小型項目，但有其限制。如果您的應用程式可擴展，您將需要更強大的解決方案，例如 Redis。

Redis 入門

1.安裝Redis

• 本地安裝Redis：Redis安裝指南
• 或者，使用 AWS Elasticache 或 Redis Cloud 等雲(yún)端服務。

2.在Node.js中整合Redis

使用 ioredis 函式庫與 Node.js 應用程式中的 Redis 互動：

const blacklist = new Set();

// Add token to blacklist
authController.logout = (req, res) => {
  const token = req.headers.authorization.split(" ")[1];
  blacklist.add(token);
  res.status(200).json({ message: "Logged out successfully" });
};

// Middleware to check token validity
middleware.verifyToken = (req, res, next) => {
  const token = req.headers.authorization.split(" ")[1];
  if (blacklist.has(token)) {
    return res.status(401).json({ message: "Invalid token" });
  }
  next();
};

npm install ioredis

Redis 與記憶體中

下一步

• 學習 Redis 基礎：了解 SETEX、GET 和 DEL 等指令。
• 安全 Redis：使用驗證和 IP 白名單。
• 最佳化黑名單：僅儲存令牌雜湊以增加安全性。

從簡單的記憶體解決方案開始，逐漸過渡到 Redis，確保您不會不知所措?？鞓肪幋a！

---

如果您對 Redis 設定有任何疑問或需要協(xié)助，請在評論中告訴我。 ？

以上是使用黑名單和 Redis 管理 JWT 註銷：初學者友好指南的詳細內(nèi)容。更多資訊請關注PHP中文網(wǎng)其他相關文章！