为什么 JWT 要结合 Redis 使用

JWT (JSON Web Token) 是一个开放的标准 (RFC 7519)，定义了一种紧凑且自我包含的方式，用于在各方之间安全地传输信息作为一个 JSON 对象。这种信息可以被验证和信任，因为它是数字签名的。然而，JWT 在某些情况下可能会遇到一些问题，这就是为什么有时需要结合 Redis 使用。

首先，JWT 是无状态的，也就是说，一旦一个 JWT 被签发出去，就没有办法从服务器端撤销或者修改。这在某些情况下可能会引发安全问题。例如，如果某个用户的 JWT 被盗，那么攻击者就可以持续使用这个 JWT 来访问服务，直到这个 JWT 过期。这是因为服务器没有记录 JWT 的状态，所以无法阻止这个 JWT 的使用。这就是需要 Redis 的地方。

Redis 是一个开源的，内存中的数据结构存储系统，它可以用作数据库、缓存和消息代理。使用 Redis，我们可以在服务器端存储 JWT 的状态。例如，当一个 JWT 被签发出去后，我们可以把这个 JWT 的 ID 和它的过期时间存储在 Redis 中。然后，每次有请求带着 JWT 来的时候，我们不仅验证这个 JWT 的签名，还要去 Redis 中查看这个 JWT 是否有效。这样，即使 JWT 被盗，我们也可以在 Redis 中将其标记为无效，从而阻止攻击者使用这个 JWT。

其次，JWT 本身并不包含任何用户的状态信息，这在一些需要频繁读取用户状态的场景下可能会引发性能问题。例如，如果我们需要在每个请求中都检查用户的角色，那么我们就需要在每个请求中都去数据库中读取用户的角色信息，这会增加数据库的负载。这也是需要 Redis 的地方。

使用 Redis，我们可以在用户登录时，将用户的状态信息，如角色，权限等，存储在 Redis 中。然后，每次有请求来的时候，我们可以直接从 Redis 中读取用户的状态信息，而不需要去数据库中读取。这样，不仅可以减轻数据库的负载，还可以提高系统的响应速度。

总的来说，JWT 和 Redis 的结合使用，可以解决 JWT 自身的一些问题，提高系统的安全性和性能。在实际的开发中，我们需要根据具体的需求和场景，灵活地使用这两者。

蓝易云-五网CN2服务器【点我购买】蓝易云采用KVM高性能架构，稳定可靠，安全无忧！蓝易云服务器真实CN2回国线路，不伪造，只做高质量海外服务器。

海外免备案云服务器链接：www.tsyvps.com

蓝易云香港五网 CN2 GIA/GT 精品网络服务器。拒绝绕路，拒绝不稳定。