快捷導(dǎo)航

通過Redis實(shí)現(xiàn)Token黑名單機(jī)制的具體方案

更新時(shí)間：2025年11月06日 08:57:18 作者：梁云亮

如果沒有為Token提供主動(dòng)失效機(jī)制,一旦Token被簽發(fā),在過期之前將一直有效,存一些安全隱患,所以本文通過將已失效的Token存儲(chǔ)在Redis中,可以確保Token在被主動(dòng)注銷后無法繼續(xù)使用,需要的朋友可以參考下

1. 概述

如果沒有為Token提供主動(dòng)失效機(jī)制。一旦Token被簽發(fā)，在過期之前將一直有效，存在以下安全隱患：

無法主動(dòng)注銷：用戶注銷后，已簽發(fā)的Token仍然有效
安全風(fēng)險(xiǎn)：Token泄露后無法立即失效
缺乏控制：無法對特定Token進(jìn)行精準(zhǔn)控制

本博客通過將已失效的Token存儲(chǔ)在Redis中，可以確保Token在被主動(dòng)注銷后無法繼續(xù)使用，提高了系統(tǒng)的安全性和可控性。

2. 具體方案

2.1 設(shè)計(jì)思路

通過在Redis中維護(hù)一個(gè)Token黑名單來實(shí)現(xiàn)Token的主動(dòng)失效功能：

當(dāng)用戶注銷或Token需要主動(dòng)失效時(shí)，將Token加入黑名單
在驗(yàn)證Token時(shí)，先檢查是否在黑名單中
如果在黑名單中，則認(rèn)為Token已失效

2.2 Redis存儲(chǔ)設(shè)計(jì)

Key: token:blacklist:{token}
Value: "blacklisted"
Expire: Token剩余有效時(shí)間

2.3 TokenUtil中新增方法

2.3.1 addToBlacklist方法

/**
 * 將Token加入黑名單，實(shí)現(xiàn)主動(dòng)失效
 *
 * @param token JWT token
 * @return 是否成功加入黑名單
 */
public boolean addToBlacklist(String token) {
    try {
        // 獲取Token的過期時(shí)間
        Date expirationDate = getExpirationDateFromToken(token);
        if (expirationDate == null) {
            return false;
        }

        // 計(jì)算剩余有效時(shí)間
        long remainingTime = expirationDate.getTime() - System.currentTimeMillis();
        if (remainingTime <= 0) {
            return false;
        }

        // 將Token加入Redis黑名單，設(shè)置過期時(shí)間為Token剩余有效時(shí)間
        String key = TOKEN_BLACKLIST_PREFIX + token;
        return redisUtil.set(key, "blacklisted", remainingTime / 1000);
    } catch (Exception e) {
        return false;
    }
}

2.3.2 isTokenInBlacklist方法

/**
 * 檢查Token是否在黑名單中
 *
 * @param token JWT token
 * @return 是否在黑名單中
 */
public boolean isTokenInBlacklist(String token) {
    String key = TOKEN_BLACKLIST_PREFIX + token;
    return redisUtil.exists(key);
}

2.3.3 removeFromBlacklist方法

/**
 * 從黑名單中移除Token
 *
 * @param token JWT token
 * @return 是否成功移除
 */
public boolean removeFromBlacklist(String token) {
    String key = TOKEN_BLACKLIST_PREFIX + token;
    return redisUtil.del(key) > 0;
}

2.3.4 修改validateToken方法

/**
 * 驗(yàn)證Token是否合法且未過期
 *
 * @param token JWT token
 * * @return 是否有效
 */
public Boolean validateToken(String token) {
    try {
        // 檢查Token是否在黑名單中
        if (isTokenInBlacklist(token)) {
            return false;
        }

        JwtParser parser = Jwts.parser().verifyWith(secretKey).build();
        parser.parseSignedClaims(token);
        return true;
    } catch (JwtException e) {
        System.out.println("JWT exception: " + e.getMessage());
    } catch (IllegalArgumentException e) {
        System.out.println("JWT claims string is empty: " + e.getMessage());
    }
    return false;
}

3. 使用示例

3.1 用戶注銷時(shí)將Token加入黑名單

@PostMapping("/logout")
public ResultBean<String> logout(@RequestHeader("Authorization") String token) {
    if (token != null && token.startsWith("Bearer ")) {
        token = token.substring(7);
      
        // 將Token加入黑名單
        boolean added = tokenUtil.addToBlacklist(token);
        if (added) {
            return ResultBean.success("注銷成功");
        }
    }
    return ResultBean.error("注銷失敗");
}

3.2 在攔截器中驗(yàn)證Token

@Component
public class TokenInterceptor implements HandlerInterceptor {
  
    @Autowired
    private TokenUtil tokenUtil;
  
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String token = request.getHeader("Authorization");
      
        if (token != null && token.startsWith("Bearer ")) {
            token = token.substring(7);
          
            // 驗(yàn)證Token（會(huì)自動(dòng)檢查黑名單）
            if (!tokenUtil.validateToken(token)) {
                response.setStatus(HttpStatus.UNAUTHORIZED.value());
                return false;
            }
        }
      
        return true;
    }
}

3.3 管理員強(qiáng)制用戶下線

@PostMapping("/admin/forceLogout")
public ResultBean<String> forceLogout(@RequestParam String token) {
    // 將Token加入黑名單
    boolean added = tokenUtil.addToBlacklist(token);
    if (added) {
        return ResultBean.success("用戶已強(qiáng)制下線");
    }
    return ResultBean.error("操作失敗");
}