使用 JWT（JSON Web 令牌）構(gòu)建安全 API 時，處理用戶注銷可能會很棘手。由于 JWT 是無狀態(tài)的，因此沒有現(xiàn)成的方法可以在注銷后使令牌失效。這就是黑名單和 Redis 等工具發(fā)揮作用的地方。如果您對這些概念不熟悉，請不要擔(dān)心！本指南將逐步解釋一切，并幫助您實施實用的解決方案。

了解無狀態(tài)性和 JWT

無狀態(tài)系統(tǒng)

• 無狀態(tài)系統(tǒng)不在服務(wù)器上存儲任何用戶會話信息。
• 每個請求都攜帶服務(wù)器處理它所需的所有必要數(shù)據(jù)（例如 JWT）。

智威湯遜

• JWT 包含用戶數(shù)據(jù)（如 ID 和角色）并由服務(wù)器簽名。
• 一旦發(fā)布，服務(wù)器不需要存儲令牌或會話詳細信息。
• 問題：如果用戶注銷，他們的 JWT 仍然有效，直到過期。

什么是黑名單？

黑名單是已失效的代幣列表。當(dāng)用戶注銷時，他們的令牌將添加到此列表中。每次發(fā)出請求時，服務(wù)器都會檢查該令牌是否在黑名單中。如果是，則請求被拒絕。

實施黑名單的步驟：

1. 將無效的標(biāo)記存儲在數(shù)據(jù)結(jié)構(gòu)（例如數(shù)組、Set 或數(shù)據(jù)庫）中。
2. 處理請求時，驗證token不在黑名單中。
3. 添加清理機制，將過期代幣從黑名單中刪除。

為什么是 Redis？

Redis 是一個高性能的內(nèi)存鍵值數(shù)據(jù)庫。它非常適合將 JWT 列入黑名單等用例，因為：

• 速度：Redis 每秒可以處理數(shù)千次讀/寫操作。
• 分布式：多個服務(wù)器可以共享同一個Redis實例以實現(xiàn)數(shù)據(jù)一致。
• TTL（生存時間）：Redis 可以在指定的持續(xù)時間后自動刪除條目。

如何在沒有 Redis 的情況下開始

如果您對這些概念不熟悉，請從簡單的內(nèi)存解決方案開始：

const blacklist = new Set();

// Add token to blacklist
authController.logout = (req, res) => {
  const token = req.headers.authorization.split(" ")[1];
  blacklist.add(token);
  res.status(200).json({ message: "Logged out successfully" });
};

// Middleware to check token validity
middleware.verifyToken = (req, res, next) => {
  const token = req.headers.authorization.split(" ")[1];
  if (blacklist.has(token)) {
    return res.status(401).json({ message: "Invalid token" });
  }
  next();
};

這種方法適用于小型項目，但有局限性。如果您的應(yīng)用程序可擴展，您將需要更強大的解決方案，例如 Redis。

Redis 入門

1.安裝Redis

• 本地安裝Redis：Redis安裝指南
• 或者，使用 AWS Elasticache 或 Redis Cloud 等云服務(wù)。

2.在Node.js中集成Redis

使用 ioredis 庫與 Node.js 應(yīng)用中的 Redis 交互：

const blacklist = new Set();

// Add token to blacklist
authController.logout = (req, res) => {
  const token = req.headers.authorization.split(" ")[1];
  blacklist.add(token);
  res.status(200).json({ message: "Logged out successfully" });
};

// Middleware to check token validity
middleware.verifyToken = (req, res, next) => {
  const token = req.headers.authorization.split(" ")[1];
  if (blacklist.has(token)) {
    return res.status(401).json({ message: "Invalid token" });
  }
  next();
};

npm install ioredis

Redis 與內(nèi)存中

下一步

• 學(xué)習(xí) Redis 基礎(chǔ)知識：了解 SETEX、GET 和 DEL 等命令。
• 安全 Redis：使用身份驗證和 IP 白名單。
• 優(yōu)化黑名單：僅存儲令牌哈希以增加安全性。

從簡單的內(nèi)存解決方案開始，逐漸過渡到 Redis，確保您不會不知所措?？鞓肪幋a！

如果您對 Redis 設(shè)置有任何疑問或需要幫助，請在評論中告訴我。 ？

以上是使用黑名單和 Redis 管理 JWT 注銷：初學(xué)者友好指南的詳細內(nèi)容。更多信息請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！