JWT多賬號登錄：如何優雅地處理舊Token失效？

JWT多賬號登錄：如何巧妙地讓舊Token失效？

在使用JWT實現多賬號登錄時，一個棘手的問題是如何在用戶重新登錄或生成新Token后，優雅地使舊Token失效。 許多開發者錯誤地認為JWT本身具備此功能，但實際上，JWT的無狀態特性決定了服務器不會主動跟蹤Token狀態。 因此，單純依賴JWT機制來使舊Token失效是不可行的。

那么，如何有效解決這個問題呢？ 關鍵在于引入外部狀態管理機制。 JWT本身無法自動管理Token有效性，需要我們設計一套方案來監控和控制Token生命周期。

本文推薦的解決方案是：利用緩存或數據庫維護Token狀態。 這意味著，每次生成新的JWT，服務器都需要將新Token及其相關信息（例如用戶ID、過期時間等）存儲到緩存（例如redis）或數據庫中。 當用戶使用Token發起請求時，服務器首先需要驗證緩存或數據庫，確認Token是否存在且有效。 如果Token失效（例如過期或被標記為失效），則拒絕請求；否則，允許請求通過。

這種方法雖然增加了服務器端的維護成本，需要管理Token狀態數據庫或緩存，但這卻是確保JWT多賬號登錄下舊Token失效的有效策略。 緩存和數據庫的選擇取決于實際應用場景和性能需求。 緩存通常讀寫速度更快，但數據持久性較弱；數據庫則相反。 開發者應根據實際情況進行權衡選擇。