快捷導(dǎo)航

Redis在jwt中作用小結(jié)

更新時(shí)間：2026年03月16日 09:29:45 作者：哈里謝頓

本文主要介紹了Redis在jwt中作用小結(jié),文中通過(guò)示例代碼介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧

具體應(yīng)用場(chǎng)景

Token 黑名單（登出失效）

場(chǎng)景實(shí)現(xiàn)方式 Redis 數(shù)據(jù)結(jié)構(gòu) 用戶主動(dòng)登出將 Token 的 jti（唯一ID）存入 Redis，設(shè)置過(guò)期時(shí)間為 Token 剩余有效期 SET blacklist:{jti} 1 EX {remaining_ttl} 后臺(tái)強(qiáng)制下線同上，或存儲(chǔ)用戶級(jí)標(biāo)記 SET user:{id}:force_logout 1

# 登出時(shí)加入黑名單
def logout(token_jti, exp_timestamp):
    ttl = exp_timestamp - current_time()
    redis.setex(f"blacklist:{token_jti}", ttl, "revoked")

# 驗(yàn)證時(shí)檢查
def is_token_valid(token_jti):
    return not redis.exists(f"blacklist:{token_jti}")

多端登錄控制

限制同一賬號(hào)同時(shí)登錄設(shè)備數(shù)（如 QQ/微信的"已在其他設(shè)備登錄"）：

# 登錄時(shí)記錄設(shè)備
redis.lpush(f"user:{user_id}:sessions", token_jti)
redis.ltrim(f"user:{user_id}:sessions", 0, 2)  # 只保留最近3個(gè)

# 驗(yàn)證時(shí)檢查當(dāng)前 Token 是否在列表中
valid_tokens = redis.lrange(f"user:{user_id}:sessions", 0, -1)
if token_jti not in valid_tokens:
    raise Exception("賬號(hào)已在其他設(shè)備登錄")

Refresh Token 存儲(chǔ)

Access Token 短期有效（15分鐘），Refresh Token 長(zhǎng)期有效（7天），但需可撤銷：

# 存儲(chǔ) Refresh Token 與用戶綁定
redis.setex(
    f"refresh:{user_id}:{device_id}", 
    7*24*3600,  # 7天過(guò)期
    hash(refresh_token)  # 存儲(chǔ)哈希值防泄露
)

# 刷新時(shí)驗(yàn)證
stored_hash = redis.get(f"refresh:{user_id}:{device_id}")
if stored_hash != hash(incoming_refresh_token):
    raise Exception("Refresh Token 無(wú)效或已輪換")

速率限制與安全防護(hù)

# 登錄失敗計(jì)數(shù)（防暴力破解）
key = f"login_attempts:{ip}"
attempts = redis.incr(key)
if attempts == 1:
    redis.expire(key, 3600)  # 1小時(shí)窗口
if attempts > 5:
    raise Exception("嘗試次數(shù)過(guò)多，請(qǐng)稍后再試")

# Token 使用頻率限制（防 Token 泄露后被濫用）
redis.zadd(f"token:{jti}:requests", {current_time(): current_time()})
# 清理1分鐘前的記錄
redis.zremrangebyscore(f"token:{jti}:requests", 0, current_time()-60)
if redis.zcard(f"token:{jti}:requests") > 100:
    # 1分鐘內(nèi)請(qǐng)求超過(guò)100次，可能泄露，加入黑名單
    redis.setex(f"blacklist:{jti}", 3600, "suspected_leak")

架構(gòu)對(duì)比

方案優(yōu)點(diǎn) 缺點(diǎn) 適用場(chǎng)景純 JWT 完全無(wú)狀態(tài)，擴(kuò)展性強(qiáng) 無(wú)法強(qiáng)制失效，難以追蹤內(nèi)部服務(wù)、短期令牌 JWT + Redis 黑名單可撤銷，保留無(wú)狀態(tài)優(yōu)勢(shì) 每次驗(yàn)證需查 Redis 常規(guī) Web 應(yīng)用純 Redis Session 完全可控，可實(shí)時(shí)強(qiáng)制下線有狀態(tài)，擴(kuò)展需共享 Session 高安全要求（金融）

關(guān)鍵設(shè)計(jì)原則