Json 用户权限更改后JWT刷新

关于json web令牌的快速问题

当我的令牌过期时，我会根据我的当前令牌获得一个刷新令牌（不验证当前用户）

那么，当我更改了某个用户的权限，而他不再被允许从web api获取数据时，会发生什么呢？ 我应该将jwt存储在DB中，以便验证他的权限吗

我读到一个令牌被分成3部分，其中包含一些用户信息。如果刷新令牌应该携带相同的信息，那么它怎么可能不同呢

我真的希望有人能帮我解决这个问题

格尔茨， 罗宾

那么，当我更改了某个用户的权限，而他不再被允许从web api获取数据时，会发生什么呢

您应该使令牌无效

我应该将jwt存储在DB中，以便验证他的权限吗

这不是一个简单的问题，有几个选择。看

1） 删除客户端令牌

2） 令牌黑名单：存储在注销和到期时间之间的令牌，标记到期并在每个请求中进行检查。需要服务器存储

3） 使用其密码或权限摘要的哈希值对令牌进行签名。如果签名字段发生更改，则以前的令牌将自动无法验证。将此机制扩展到其他感兴趣的领域以进行签名。缺点是它需要访问数据库

如果刷新令牌应该携带相同的信息，那么它怎么可能不同呢

第一部分是令牌的报头（签名算法），第二部分是有效载荷（主题、名称、发行人、发行时间、到期日等），第三部分是签名，签名在报头和有效载荷上执行。由于“发布时间”等数据不同，签名字段将发生变化