关于jwt的token是否要存储到redis的问题探讨

前言

在开发项目的登录模块的时候，采用了Jwt+redis,做完后若有所思，为什么用了Jwt还要加redis？于是查阅资料，有了一些了解，如果有不足的地方请大家帮忙纠正。

---

问题

为什么jwt可以存储用户的信息，还要把token和用户信息存储到redis,再通过token获取？这样是不是多此一举，以及违反了jwt技术减少数据库查询，减缓服务器压力的初衷？

---

解答

1、确保安全
Token信息是不保密的，一旦泄露，就会产生安全风险

2、实现单点登录
假设：有设备AB、无单点登录限制的某APP、一个账号(用户)

设备A在APP第1次登录用户，服务器会给该用户创建1个Token并返回到设备A，设备A会将该Token保存到本地

设备B也是在APP第1次登录该用户，服务器也会给该用户创建1个Token并返回到设备B(此处的Token不同于上一个)，设备B会将该Token保存到本地

那这样的话，2个设备可同时在该APP登录同一个账号，即多点登录，不合理

因此需要通过Redis进行限制

3、用户修改密码，实现重新登录
假设：有个账号在登录后的使用期间修改了账号密码、APP无自动退出账号的操作

毕竟是登录过的用户，则设备本地必然有个Token，若修改密码后，该Token仍未过期，则账号仍是正常使用，不会被退出

正常是在登录期间，修改了密码，那对应的Token会被删除，使得账号被迫退出，用户需再次登录来获取新的Token；此删除与添加操作可通过Redis完成