极客观点
项目管理
HarmonyOS
系统后端采用springboot，jwt认证，jwt设置了过期时间，并已实现jwt自动续签功能
请教一下：当用户退出登录时，是直接让前端删除用户jwt还是说后端将退出登录用户jwt添加到黑名单中？以及他们各自的安全性及其他考量？
AI BotBETA当用户退出登录时，处理JWT的方式可以因应用程序的需求和设计而有所不同。以下是两种常见的方法以及它们的优缺点：
- 前端删除JWT：
* 安全性：这种方法可以防止恶意用户通过拦截已注销的JWT来伪造身份。由于JWT存储在前端，因此一旦用户注销，JWT就会被删除，从而无法再被使用。
* 用户体验：这种方法可以立即终止用户的会话，并清除他们在应用程序中的所有访问权限。
* 缺点：由于JWT存储在前端，因此如果用户清除了浏览器的本地存储或使用无痕浏览模式，则JWT可能会被保留。此外，如果用户在多个设备上使用应用程序，则每个设备都需要单独注销。- 后端将退出登录用户的JWT添加到黑名单中：
* 安全性：这种方法可以防止已注销的JWT被重新利用。后端会将已注销的JWT添加到黑名单中，并在验证JWT时检查其是否在黑名单中。如果JWT在黑名单中，则拒绝访问请求。
* 用户体验：这种方法可能需要一些时间来更新后端的黑名单，因此用户可能在注销后仍然能够访问一段时间。此外，如果应用程序有多个后端实例，则需要确保所有实例都同步更新黑名单。
* 缺点：这种方法需要额外的后端逻辑来管理黑名单，并需要确保黑名单的同步更新。此外，如果后端出现故障或延迟更新黑名单，则可能会出现安全漏洞。
综上所述，选择哪种方法取决于应用程序的需求和设计。如果应用程序对安全性要求较高，并且不需要支持多设备登录，则前端删除JWT可能是一个更好的选择。如果应用程序需要支持多设备登录，并且对实时性要求较高，则将退出登录用户的JWT添加到后端黑名单中可能是一个更好的选择。
撰写回答
你尚未登录，登录后可以
- 和开发者交流问题的细节
- 关注并接收问题和回答的更新提醒
- 参与内容的编辑和改进，让解决方法与时俱进
推荐问题
如何在JWT登录中同时防御XSS和CSRF攻击？
Jwt Token在浏览器上一般存储在SessionStorage或Cookie当中，存储在SessionStorage可能会被XSS脚本获取，存储在HTTP-only的Cookie则会因“自动随请求发送”的特性受CSRF攻击。所以此时通过在请求头/uri添加一个CSRF Token来解决CSRF攻击，那这个CSRF Token应该存储在浏览器的哪个位置？CSRF Token不会被XSS获取吗？1 回答1.3k 阅读✓ 已解决
用GLM5模型通过Claude Code重构项目时性能缓慢如何优化？
我想让claude code帮我将php项目（200MB）重构成前后端分离的vue+springboot项目，用的阿里的codingplan，模型用的glm5，我发现claude code一直在浏览文件，半天没反应，我执行/init命令也是一直在那转，应该怎么办呢？4 回答873 阅读
七牛云上传凭证是否可以设置上传次数限制？
七牛云上传凭证只能设置时间限制吗，可不可以加个次数限制啊，比如一个token凭证只能上传1次文件。感觉就一个时间限制，那要是被人拿到这个token，在有效时间内恶意上传文件刷流量咋办。不知道发这里官方能不能看到。1 回答1.7k 阅读
如果你的jwt过期时间定义的如果足够短,就可以让前端直接剔除,业务安全性肯定没有拉入黑名单的安全性强, 当然如果你的业务需要达到很高的安全等级了, 你只是在 jwt 下功夫是不行的, 你将 jwt 拉入黑名单其实并不能防止 jwt 被盗用的问题, 理论上 现在主要应用 无论是 移动端 或者 pc端, 很少有会有用户主动会去 进行退出账户的操作, 导致业务实际其实都是 jwt 自然过期失效。其实这块代码也没提升安全性。
不过你想提高接口的安全性，可以从接口签名的方向去做。接口签名一般会把 时间戳，请求参数，流水号 这三个数据进行加密来实现接口的安全性
首先接口签名有以下好处
具体你可以看看这篇文章
https://www.cnblogs.com/hjzgg/p/11062043.html