使用 JWT（JSON Web 令牌）構(gòu)建安全 API 時(shí)，處理用戶注銷可能會(huì)很棘手。由于 JWT 是無狀態(tài)的，因此沒有現(xiàn)成的方法可以在注銷后使令牌失效。這就是黑名單和 Redis 等工具發(fā)揮作用的地方。如果您對(duì)這些概念不熟悉，請(qǐng)不要擔(dān)心！本指南將逐步解釋一切，并幫助您實(shí)施實(shí)用的解決方案。

了解無狀態(tài)性和 JWT

無狀態(tài)系統(tǒng)

• 無狀態(tài)系統(tǒng)不在服務(wù)器上存儲(chǔ)任何用戶會(huì)話信息。
• 每個(gè)請(qǐng)求都攜帶服務(wù)器處理它所需的所有必要數(shù)據(jù)（例如 JWT）。

智威湯遜

• JWT 包含用戶數(shù)據(jù)（如 ID 和角色）并由服務(wù)器簽名。
• 一旦發(fā)布，服務(wù)器不需要存儲(chǔ)令牌或會(huì)話詳細(xì)信息。
• 問題：如果用戶注銷，他們的 JWT 仍然有效，直到過期。

什么是黑名單？

黑名單是已失效的代幣列表。當(dāng)用戶注銷時(shí)，他們的令牌將添加到此列表中。每次發(fā)出請(qǐng)求時(shí)，服務(wù)器都會(huì)檢查該令牌是否在黑名單中。如果是，則請(qǐng)求被拒絕。

實(shí)施黑名單的步驟：

1. 將無效的標(biāo)記存儲(chǔ)在數(shù)據(jù)結(jié)構(gòu)（例如數(shù)組、Set 或數(shù)據(jù)庫）中。
2. 處理請(qǐng)求時(shí)，驗(yàn)證token不在黑名單中。
3. 添加清理機(jī)制，將過期代幣從黑名單中刪除。

為什么是 Redis？

Redis 是一個(gè)高性能的內(nèi)存鍵值數(shù)據(jù)庫。它非常適合將 JWT 列入黑名單等用例，因?yàn)椋?/p>

• 速度：Redis 每秒可以處理數(shù)千次讀/寫操作。
• 分布式：多個(gè)服務(wù)器可以共享同一個(gè)Redis實(shí)例以實(shí)現(xiàn)數(shù)據(jù)一致。
• TTL（生存時(shí)間）：Redis 可以在指定的持續(xù)時(shí)間后自動(dòng)刪除條目。

如何在沒有 Redis 的情況下開始

如果您對(duì)這些概念不熟悉，請(qǐng)從簡(jiǎn)單的內(nèi)存解決方案開始：

const blacklist = new Set();

// Add token to blacklist
authController.logout = (req, res) => {
  const token = req.headers.authorization.split(" ")[1];
  blacklist.add(token);
  res.status(200).json({ message: "Logged out successfully" });
};

// Middleware to check token validity
middleware.verifyToken = (req, res, next) => {
  const token = req.headers.authorization.split(" ")[1];
  if (blacklist.has(token)) {
    return res.status(401).json({ message: "Invalid token" });
  }
  next();
};

這種方法適用于小型項(xiàng)目，但有局限性。如果您的應(yīng)用程序可擴(kuò)展，您將需要更強(qiáng)大的解決方案，例如 Redis。

Redis 入門

1.安裝Redis

• 本地安裝Redis：Redis安裝指南
• 或者，使用 AWS Elasticache 或 Redis Cloud 等云服務(wù)。

2.在Node.js中集成Redis

使用 ioredis 庫與 Node.js 應(yīng)用中的 Redis 交互：

const blacklist = new Set();

// Add token to blacklist
authController.logout = (req, res) => {
  const token = req.headers.authorization.split(" ")[1];
  blacklist.add(token);
  res.status(200).json({ message: "Logged out successfully" });
};

// Middleware to check token validity
middleware.verifyToken = (req, res, next) => {
  const token = req.headers.authorization.split(" ")[1];
  if (blacklist.has(token)) {
    return res.status(401).json({ message: "Invalid token" });
  }
  next();
};

npm install ioredis

Redis 與內(nèi)存中

下一步

• 學(xué)習(xí) Redis 基礎(chǔ)知識(shí)：了解 SETEX、GET 和 DEL 等命令。
• 安全 Redis：使用身份驗(yàn)證和 IP 白名單。
• 優(yōu)化黑名單：僅存儲(chǔ)令牌哈希以增加安全性。

從簡(jiǎn)單的內(nèi)存解決方案開始，逐漸過渡到 Redis，確保您不會(huì)不知所措?？鞓肪幋a！

如果您對(duì) Redis 設(shè)置有任何疑問或需要幫助，請(qǐng)?jiān)谠u(píng)論中告訴我。 ？

以上是使用黑名單和 Redis 管理 JWT 注銷：初學(xué)者友好指南的詳細(xì)內(nèi)容。更多信息請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！