每個用戶JWT和一個（！）會話/無併發會話

Question

我們當前的應用程序使用HTTP會話，我們希望用JWT替換它。

該設置允許每個用戶只有一個會話。這意味着：在

1. 用戶標誌在設備1個
   • 用戶在設備1（創建新會話）在設備2
     • 用戶是
   • 用戶標誌記錄在在設備2（創建新會話）時登錄
   • 用戶爲而不是在設備1登錄（會話被破壞）

這工作，因爲有會話ID和用戶ID之間的服務器端的關係。

---

使用JWT我能想象到有用戶數據庫裏面的一些櫃檯，而它與每一個登錄增加，即：在設備1

• JWT令牌簽名包含
  1. 用戶跡象計數器+ 1（並保存新的計數器到數據庫）

用戶登錄設備2

• JWT的簽名包含counter + 1，它會增加並保存到db。現在

每個請求我要檢查如果傳入的簽名是否爲當前計數器值正確。

這不知何故使它有狀態。 :(

但是... JWT的一個好處是，無需訪問任何數據庫或會話存儲以驗證令牌。

---

是否有其他解決方案來防止併發登錄？也許有些東西沒有數據庫訪問，並保持無狀態？

Answer 1

您非常接近解決方案。

要做到這一點，你需要以下條件：
1.包含IAT令牌（時值發出令牌）
2.在一些地方保存，當用戶最後登錄，例如在用戶的配置文件的時間。

現在驗證令牌時，請執行額外的檢查：iat（Issued At）必須等於或晚於上次登錄時間。這隱含地使舊的令牌失效。