关于jwt修改用户权限或者密码的问题

Question

老师您好，我想问一下。我现在有个需求，前端根据jwt中用户权限决定显示的页面。当用户密码或者权限被修改的时候，按道理这个jwt应该就过期了。
但是jwt如果在服务端，每次接收请求都去查一下redis或者mysql，验证一下当前用户的这些信息是否和jwt一致，我觉得是不是违背了jwt只有服务端解析的优势，和session差不多了。在并发量很大的情况下，对数据库会造成较大的压力。
有什么好的解决方案么？

Answer 1

bobby 2020-04-11 16:29:24

https://stackoverflow.com/questions/28759590/best-practices-to-invalidate-jwt-while-changing-passwords-and-logout-in-node-js 你可以看看这个

• 提问者 烈焰卡卡 #1

  我理解这个里面还是说如果对jwt有时效性要求，必须要牺牲数据库的性能，每次api请求时查询redis才能确定jwt是否应该强制过期

• bobby 回复 提问者 烈焰卡卡 #2

  是的， 要做到这个效果确实需要保存起来才行