我需要散列存储在数据库中的刷新令牌吗？

Question

我正在开发一个Go在后端和基于 JWT 的身份验证中使用的 Web 应用程序。当用户登录时，我向他们发送过期时间较短的访问令牌和过期时间较长的刷新令牌。这两个令牌都包括username作为它们的有效载荷。它们是用不同的秘密创造的。我的问题是关于注销。当用户发送注销请求时，我想使其刷新令牌无效，以便他们在注销后需要再次登录。对于解决方案，我打算将该刷新令牌存储在我的数据库中的黑名单表中。我的问题是我是否需要在将刷新令牌存储到数据库之前对其进行哈希处理。谢谢。

Answer 1

标准 JWT 声明（RFC 7519 §4.1.7）之一是"jti"，它是令牌的唯一标识符。如果您在刷新令牌中包含唯一标识符，则足以将"jti"和"exp"（到期）声明存储在数据库中。（我默认使用("github.com/satori/go.uuid").NewV4将 生"jti"成为随机 UUID，这是由"crypto/rand"随机数生成器内部支持的。）

现在，如果您收到一个刷新令牌，您可以进行通常的检查以确保它已正确签名和未过期，然后"jti"在数据库中查找。如果它不在黑名单上，那么它有利于重复使用。您只需要保留"exp"在数据库中即可知道何时可以安全地清除记录。由于"jti"只是一个随机标识符，您无法从 返回"jti"任何可识别信息，因此没有特别需要对其进行散列或加密。

如果您没有"jti"并且无法添加，我可能会散列令牌或仅保留声明的副本。部分原因是出于空间原因，部分原因是您不想存储实际上是有效凭据的内容。保留足够的信息，您可以唯一地识别令牌；可能"sub"和"exp"时间一起是足够的信息（如果发给同一主题的两个令牌在同一秒到期是无法区分的）。