灵活管理 JWT：临时开放接口访问与密码修改后的令牌失效

在使用 JSON Web Token（JWT） 进行身份验证时，有时需要应对一些特殊场景，如对某些接口临时开放访问权限或在用户修改密码后使旧令牌立即失效。本文将探讨如何在不修改代码的情况下实现这些需求，并介绍具体的实现方案。

---

一、临时开放接口访问

在某些情况下，如促销活动期间，可能需要临时开放某些接口的访问权限，而不进行身份验证。为了实现这一目标，同时保持系统的灵活性和安全性，可以采取以下几种策略：

1. 基于 IP 白名单

可以通过配置 IP 白名单来允许特定 IP 地址范围内的请求绕过身份验证。这种方法适用于内部测试或合作伙伴接入等场景。

func isWhitelistedIP(ip string) bool {
    whitelist := []string{"192.168.1.0/24", "10.0.0.0/8"} // 示例白名单
    for _, cidr := range whitelist {
        _, ipNet, err := net.ParseCIDR(cidr)
        if err != nil {
            continue
        }
        if ipNet.Contains(net.ParseIP(ip)) {
            return true
        }
    }
    return false
}

2. 使用环境变量控制

可以在配置文件或环境变量中设置一个标志位，决定是否开启免验证模式。这种方式无需修改代码，只需调整配置即可生效。

// config.yaml
disable_auth: false

func authenticateRequest(r *http.Request) error {
    disableAuth, _ := strconv.ParseBool(os.Getenv("DISABLE_AUTH"))
    if disableAuth {
        return nil // 免验证模式下直接通过
    }

    tokenString := extractToken(r)
    _, err := validateToken(tokenString)
    return err
}

3. 动态路由规则

利用 API 网关或反向代理服务器（如 Nginx、Kong），可以根据时间、路径或其他条件动态调整路由规则，实现临时开放接口的目的。

# nginx.conf
map $uri $allow_access {
    default "";
    ~^/promotion/.+ 1;
}

server {
    location / {
        if ($allow_access) {
            # 跳过认证逻辑
        } else {
            # 正常认证逻辑
        }
    }
}

---

二、用户修改密码后让旧令牌失效

当用户修改密码后，出于安全考虑，应使所有已发放的 JWT 令牌立即失效。以下是几种常见的解决方案：

1. 黑名单机制

维护一个令牌黑名单，记录所有需要失效的令牌。每次收到请求时，检查令牌是否存在于黑名单中。

var blacklist = make(map[string]struct{})

func invalidateToken(tokenString string) {
    blacklist[tokenString] = struct{}{}
}

func validateToken(tokenString string) error {
    if _, exists := blacklist[tokenString]; exists {
        return errors.New("token has been invalidated")
    }

    // 继续正常验证逻辑...
    return nil
}

2. 版本号或修订号

在 JWT 的 Payload 中添加一个版本号或修订号字段，每当用户修改密码时更新该值。客户端在获取新令牌时会包含最新的版本号，而旧令牌由于版本不符将被视为无效。

{
    "sub": "1234567890",
    "version": 1,
    "exp": 1691049422
}

func updateVersionForUser(userID string) error {
    // 更新数据库中的用户版本号
    return nil
}

func validateToken(tokenString string) error {
    claims, err := parseTokenClaims(tokenString)
    if err != nil {
        return err
    }

    user, err := getUserByID(claims["sub"].(string))
    if err != nil {
        return err
    }

    if int(claims["version"].(float64)) != user.Version {
        return errors.New("token version mismatch")
    }

    return nil
}

3. 短期令牌与刷新令牌组合

采用短期有效的访问令牌（如 15 分钟）和长期有效的刷新令牌（如一周）。当用户修改密码时，通知客户端清除本地存储的刷新令牌，迫使用户重新登录获取新的令牌。

func changePassword(userID string, newPassword string) error {
    // 更新用户密码
    // ...

    // 通知客户端清除刷新令牌
    notifyClientToInvalidateRefreshToken(userID)
    return nil
}

4. 强制登出机制

对于支持 WebSocket 或长连接的应用，可以在用户修改密码后主动推送消息给客户端，要求其立即登出并重新登录。

func broadcastLogoutNotification(userID string) {
    // 发送广播通知给所有在线设备
}

---

三、总结

无论是临时开放接口访问还是在用户修改密码后使旧令牌失效，都需要根据具体业务需求选择合适的实现方案。通过合理设计系统架构和引入必要的安全机制，可以在保证用户体验的同时确保系统的安全性。

希望这篇文章能帮助你深入理解 如何灵活管理 JWT 令牌，并在实际项目中灵活运用这些技术。