FeathersJS 中实现 JWT 令牌吊销机制详解-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00136/article/details/148377497

FeathersJS 中实现 JWT 令牌吊销机制详解

feathers The API and real-time application framework 项目地址: https://gitcode.com/gh_mirrors/fe/feathers

前言

在基于 JWT (JSON Web Token) 的身份验证系统中，令牌一旦签发就会在有效期内保持可用状态。本文将深入探讨如何在 FeathersJS 框架中实现 JWT 令牌的吊销机制，确保即使令牌未过期也能使其失效。

JWT 吊销的必要性

传统 Web 应用中，服务器可以通过销毁会话 ID 来注销用户。但在 JWT 的无状态认证中，由于服务器不存储令牌状态，要实现类似功能就需要额外机制。常见场景包括：

用户主动登出时使当前令牌失效
检测到可疑活动时强制终止会话
密码修改后使之前颁发的令牌失效

基础实现方案

核心思路

FeathersJS 的认证服务可通过扩展 AuthenticationService 类来实现令牌吊销功能。基本原理是：

维护一个已吊销令牌的存储
在验证令牌时检查是否已被吊销
登出时将令牌加入吊销列表

代码实现

const { AuthenticationService } = require('@feathersjs/authentication');
const { NotAuthenticated } = require('@feathersjs/errors');

// 存储已吊销的令牌
const revokedTokens = {};

class RevokableAuthService extends AuthenticationService {
  async revokeAccessToken(accessToken) {
    // 首先验证令牌是否有效
    const verified = await this.verifyAccessToken(accessToken);
    
    // 将令牌标记为已吊销
    revokedTokens[accessToken] = true;

    return verified;
  }

  async verifyAccessToken(accessToken) {
    // 检查令牌是否已被吊销
    if (revokedTokens[accessToken]) {
      throw new NotAuthenticated('令牌已被吊销');
    }

    return super.verifyAccessToken(accessToken);
  }

  async remove(id, params) {
    const authResult = await super.remove(id, params);
    const { accessToken } = authResult;

    if (accessToken) {
      // 登出时吊销当前令牌
      await this.revokeAccessToken(accessToken);
    }

    return authResult;
  }
}

// 使用自定义认证服务
app.use('/authentication', new RevokableAuthService(app));

方案优缺点

优点：

实现简单，无需额外依赖
适合小型应用或开发环境

缺点：

内存存储，服务重启后吊销列表丢失
不适合分布式环境
长期运行可能导致内存增长

生产环境推荐方案：Redis 实现

对于生产环境，推荐使用 Redis 作为吊销令牌的存储后端，原因包括：

高性能的键值存储
支持自动过期（与 JWT 有效期天然契合）
适合分布式部署

Redis 实现代码

const redis = require('redis');
const { AuthenticationService } = require('@feathersjs/authentication');
const { NotAuthenticated } = require('@feathersjs/errors');

class RedisAuthService extends AuthenticationService {
  constructor(app, configKey) {
    super(app, configKey);
    
    // 初始化 Redis 客户端
    const client = redis.createClient();
    
    this.redis = {
      client,
      get: client.get.bind(client),
      set: client.set.bind(client),
      exists: client.exists.bind(client),
      expireat: client.expireat.bind(client)
    };

    // 连接 Redis
    (async () => {
      await this.redis.client.connect();
    })();
  }

  async revokeAccessToken(accessToken) {
    const verified = await this.verifyAccessToken(accessToken);
    // 计算剩余有效时间(秒)
    const expiry = verified.exp - Math.floor(Date.now() / 1000);

    // 存储到 Redis 并设置自动过期
    await this.redis.set(accessToken, '1', { EX: expiry });

    return verified;
  }

  async verifyAccessToken(accessToken) {
    if (await this.redis.exists(accessToken)) {
      throw new NotAuthenticated('令牌已被吊销');
    }

    return super.verifyAccessToken(accessToken);
  }

  // 登出逻辑保持不变
  async remove(id, params) {
    const authResult = await super.remove(id, params);
    const { accessToken } = authResult;

    if (accessToken) {
      await this.revokeAccessToken(accessToken);
    }

    return authResult;
  }
}

app.use('/authentication', new RedisAuthService(app));