jwt token 过期刷新_JWT Token 刷新和作废

最新推荐文章于 2024-02-20 01:41:07 发布
VIP文章 最新推荐文章于 2024-02-20 01:41:07 发布
阅读量1.5w 收藏 31
点赞数 11
文章标签： jwt token 过期刷新 刷新一直获取session中的旧数据

之前一篇文章简单介绍了下JWT的用法,涉及到token的签发和验证。有人说JWT不适合用于替换传统的 session+cookies 机制用于Web应用的用户登录状态维护，很大原因就是这块问题。

虽然之前的案例里面，我们可以成功在登录后获取一个Token，然后访问服务器的时候带着这个Token，服务器就可以知道当前访问的用户Uid了，假设现在有一下需求：

  • 登录后7天不用重复登录
  • 超过30天没有访问网站则需重新登录，否则一直有效
  • 修改密码功能
ee2853fa0f99e6225b4d8e65e1133e29.png

Token续签问题

对于第一个问题，我们可以在jwt的 Payload 里面设置一个过期时间，比如说7天，超过这个时间Token无效。但是如果只是简单的这么做的话就会带来另一个问题： 假如一个用户正在访问网站，突然Token失效了，用户就会掉登录，体验太差。

所以，大部分时候我们都是采用第二种策略: 超过xx天不访问网站则需要重新登录，如果中间连续访问网站的话则不要重新登录，对于很多手机App，我们可不希望用户天天输账号密码登录，但如果永久有效可能会带来一些安全问题。

这其实就是Token的续签问题，我们看一下网上提到的一些解决方案：

1.更新Payload里面的过期时间。

JWT的Payload里面可以设置一个过期时间

最低0.47元/天 解锁文章
weixin_39581652
关注
  • 11
    点赞
  • 踩
  • 31
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
java jwt刷新_jwt刷新token
weixin_32562455的博客
02-27 2931
前一段时间讲过了springboot+jwt的整合，但是因为一些原因(个人比较懒)并没有更新关于token的刷新问题，今天跟别人闲聊，聊到了关于业务中token的刷新方式，所以在这里我把我知道的一些点记录一下，也希望能帮到一些有需要的朋友，同时也希望给我一些建议，话不多说，上代码！1：这种方式为在线刷新，比方说设定的token有效期为30min,那么每次访问资源时，都会在拦截器中去判断一下toke...
springSecurity-jwt:JWT access_token和refresh_token
04-10
SpringSecurity-JWT-VERSION2（AccessToken和RefreshToken） version1太复杂，无法优化。 accessToken refreshToken流 安全登录处理流程 详细说明转到博客文章 JWT异常处理 安全异常处理（AuthenticationEntryPoint，AccessDeniedHandler） 仅使用AccessToken时 如果将AccessToken的有效时间设置得较长，则很方便，因为用户不需要频繁登录，但是只要有效时间长，恶意用户就可以窃取AccessToken，从而降低了安全性。 相反，如果将AccessToken的有效时间设置为较短时间，则安全性将提高，但由于用户频繁登录，其便利性将降低。 您可能会认为使JWT无效将不起作用，但是JWT只能在设置的到期时间过去之后才到期。 我不能强迫它在那之前过期。 同时使用
SpringSecurity Jwt Token 自动刷新的实现
08-19
主要介绍了SpringSecurity Jwt Token 自动刷新的实现，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
十分钟，带你看懂JWT（Json Web Token）
cul1n的博客
02-20 1152
在挖掘 SRC 的时候，面对一些 SSO 的场景，经常会看到一些奇奇怪怪的数据，这些数据多以三段式加密方式呈现，在后续的学习过程中，明白了此类令牌名为Token，在之前的学习过程中简单了解了下 JWT 的呈现方式，但是对其更深入的内容浅尝辄止，本篇文章从一个全面的方向了解，什么是 JWT，JWT 如何利用和攻击，旨在帮助安全从业人员更好的了解网络安全的令牌工作机制。本文配套靶场地址为WebGoat靶场身份验证及失败部分。
jwt token 过期刷新_替换JWT
@涂涂博客
09-15 2412
问题： 为了安全，很多人都知道token长期保持不变不安全，通常会采取刷新token的机制。当是当下，很多刷新机制是为了刷新而刷新，常见的token刷新机制是：到期后刷新，或是提前刷新，或者定时刷新。如果token被盗，黑客和合法用户都可以通过刷新来获取新的token，这并没带来实际的安全提升。： 方案： 每个token有一个较长的有效期，比如90天，这个是为了满足长期登录的需求; 每个token有一个较短的刷新间隔，比如2个小时。常常更换token 提升安全性; 每当token刷新时，创建并颁
JWT实现登陆认证及Token自动续期
Zyw907155124的博客
01-05 1344
更新用户密码时需要重新生成新的token，并将新的token返回给前端，由前端更新保存在local storage中的token，同时更新存储在redis中的token，这样实现可以避免用户重新登陆，用户体验感不至于太差。一样的道理，要改变JWT的有效时间，就要签发新的JWT。在实际项目中，用户分为普通用户和管理员用户，只有管理员用户拥有删除用户的权限，这一块功能也是涉及token操作的，但是我太懒了，demo工程就不写了。JWT的payload使用的是base64编码的，因此在JWT中不能存储敏感数据。
JWT续期问题，ChatGPT解决方案
全栈行动派的博客
03-04 7373
JWT（JSON Web Token）通常是在用户登录后签发的，用于验证用户身份和授权。JWT 的有效期限（或称“过期时间”）通常是一段时间（例如1小时），过期后用户需要重新登录以获取新的JWT。然而，在某些情况下，用户可能会在JWT到期之前使用应用程序，这可能会导致应用程序不可用或需要用户重新登录。为了避免这种情况，解决方案：刷新令牌（Refresh Token）、自动延长JWT有效期
jwt_token的有效时间和刷新时间
wo240的专栏
04-18 8232
有效时间和刷新时间都是固定的 1、token 的有效时间是说签发的 token 仅在 ttl 时间内可以用来正常使用 (鉴权，获取用户信息等操作)，过了这个有效时间后，改 token 将被废弃，放入黑名单，路由中间件鉴权也将会失败。 2、刷新时间是指在 refresh_ttl 时间内，你可以使用之前签发的 token (此时已经失效了) 来换取一个新的 token，新的 token 的有效时间还是 ttl。后续的鉴权验证需要使用新的 token 才能正常通过。 用之前即将过期的 t..
SpringBoot 实现 JWT token 自动续期
weixin_44421461的博客
01-18 2151
点击上方“Java基基”，选择“设为星标”做积极的人，而不是积极废人！每天14:00更新文章，每天掉亿点点头发...源码精品专栏原创 | Java 2021超神之路，很肝~中文详细注释的开源项目RPC 框架 Dubbo 源码解析网络应用框架 Netty 源码解析消息中间件 RocketMQ 源码解析数据库中间件 Sharding-JDBC 和 MyCAT 源码解析作业调度中间件 Elast...
【shiro】shiro整合JWT——4.JWT Token刷新/续签
kevin的博客
06-02 2508
之前在写shiro整合JWT的时候，在ShiroRealm中有写到token的刷新；但后来看了很多别人的项目demo和博客发现之前的写法不太合适。这里参考之前看过的各个项目与博客，延续这之前shiro整合JWT内容的做了一波缝合怪。主要对之前的ShiroRealm，JwtUtil，JwtFilter类进行修改。ps：本文主要以记录核心思路为主。
JWT登录过期自动刷新方案与token泄漏解决方案
weixin_65059058的博客
09-13 6529
JWT登录过期自动刷新方案与token泄漏解决方案
请求时token过期自动刷新token操作
10-14
主要介绍了请求时token过期自动刷新token操作，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧
Laravel (Lumen) 解决JWT-Auth刷新token的问题
10-16
今天小编就为大家分享一篇Laravel (Lumen) 解决JWT-Auth刷新token的问题，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧
基于springboot+jwt实现刷新token过程解析
08-19
主要介绍了基于springboot+jwt实现刷新token过程解析,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
多图表实现员工满意度调查数据分析python
04-22
员工满意度是指员工对于工作环境、待遇、职业发展和组织管理等方面的满意程度。它是衡量员工对工作的整体感受和情绪状态的重要指标。
2020届软件工程本科毕业生毕业设计项目.zip
04-22
2020届软件工程本科毕业生毕业设计项目
基于stm32平衡小车
04-22
平衡小车 基于stm32 平衡小车 基于stm32 平衡小车 基于stm32
c语言火车票订票管理源码.rar
04-22
c语言火车票订票管理源码.rar
施耐德PLC例程源码四台水泵的轮换
最新发布
04-22
施耐德PLC例程源码四台水泵的轮换提取方式是百度网盘分享地址
jwt token 过期刷新_.net core 3.1 Jwt操作封装类，JwtHelper，支持生成、刷新等
05-24
在使用 JWT 进行身份验证时，通常会设置一个过期时间，以确保用户在一段时间内保持登录状态。当 JWT 过期时，用户需要重新登录并获取新的 JWT 令牌。为了避免用户频繁重新登录，我们可以使用刷新令牌的方式来延长用户的登录状态。 在 .NET Core 3.1 中，我们可以使用 JwtSecurityTokenHandler 类来生成和验证 JWT 令牌。下面是一个简单的 JwtHelper 类的实现，它支持生成、刷新和验证 JWT 令牌： ```csharp using Microsoft.IdentityModel.Tokens; using System; using System.IdentityModel.Tokens.Jwt; using System.Security.Claims; using System.Text; public class JwtHelper { private static readonly string secret = "your_secret_key_here"; private static readonly string issuer = "your_issuer_here"; private static readonly int expireMinutes = 30; private static readonly int refreshExpireMinutes = 60; public static string GenerateToken(string userId) { var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(secret)); var credentials = new SigningCredentials(securityKey, SecurityAlgorithms.HmacSha256); var claims = new[] { new Claim(ClaimTypes.NameIdentifier, userId) }; var tokenDescriptor = new SecurityTokenDescriptor { Issuer = issuer, Audience = issuer, Subject = new ClaimsIdentity(claims), Expires = DateTime.UtcNow.AddMinutes(expireMinutes), SigningCredentials = credentials }; var tokenHandler = new JwtSecurityTokenHandler(); var token = tokenHandler.CreateToken(tokenDescriptor); return tokenHandler.WriteToken(token); } public static string RefreshToken(string token) { var tokenHandler = new JwtSecurityTokenHandler(); var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(secret)); try { var claimsPrincipal = tokenHandler.ValidateToken(token, new TokenValidationParameters { ValidateIssuer = true, ValidateAudience = true, ValidIssuer = issuer, ValidAudience = issuer, IssuerSigningKey = securityKey, ValidateLifetime = false }, out SecurityToken validatedToken); var jwtToken = validatedToken as JwtSecurityToken; if (jwtToken == null || !jwtToken.Header.Alg.Equals(SecurityAlgorithms.HmacSha256, StringComparison.InvariantCultureIgnoreCase)) { throw new SecurityTokenException("Invalid token"); } var userId = claimsPrincipal.FindFirst(ClaimTypes.NameIdentifier).Value; return GenerateToken(userId); } catch(Exception ex) { throw new SecurityTokenException("Invalid token", ex); } } public static bool ValidateToken(string token) { var tokenHandler = new JwtSecurityTokenHandler(); var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(secret)); try { var claimsPrincipal = tokenHandler.ValidateToken(token, new TokenValidationParameters { ValidateIssuer = true, ValidateAudience = true, ValidIssuer = issuer, ValidAudience = issuer, IssuerSigningKey = securityKey, ValidateLifetime = true, ClockSkew = TimeSpan.Zero }, out SecurityToken validatedToken); var jwtToken = validatedToken as JwtSecurityToken; if (jwtToken == null || !jwtToken.Header.Alg.Equals(SecurityAlgorithms.HmacSha256, StringComparison.InvariantCultureIgnoreCase)) { throw new SecurityTokenException("Invalid token"); } return true; } catch(Exception) { return false; } } } ``` 在上面的代码中，我们定义了一个静态的 secret 字符串来存储 JWT 的密钥，一个 issuer 字符串来存储 JWT 的发行者，以及一个 expireMinutes 和 refreshExpireMinutes 来分别设置 JWT 令牌和刷新令牌的过期时间。在 GenerateToken 方法中，我们使用 JwtSecurityTokenHandler 类来创建一个 JWT 令牌，并设置其过期时间和签名凭证。在 RefreshToken 方法中，我们首先验证传入的 JWT 令牌是否有效，并提取其中的用户 ID。然后，我们使用 GenerateToken 方法来生成一个新的 JWT 令牌。在 ValidateToken 方法中，我们验证传入的 JWT 令牌是否有效，并返回一个布尔值表示验证结果。 使用 JwtHelper 类非常简单，只需要调用其中的 GenerateToken、RefreshToken 和 ValidateToken 方法即可。下面是一个示例： ```csharp var token = JwtHelper.GenerateToken("user_id"); var isValid = JwtHelper.ValidateToken(token); var refreshedToken = JwtHelper.RefreshToken(token); ``` 需要注意的是，由于 JWT 令牌是无状态的，因此在刷新令牌时，我们需要使用一些外部存储机制（如数据库或缓存）来存储每个用户的刷新令牌。当用户请求刷新令牌时，我们可以从外部存储中检索出用户的刷新令牌，并验证其有效性后生成新的 JWT 令牌。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值