用JWT生成Token用不用存到redis

[LawrenceSin]

如题，如果不用redis直接解析token行不行，新人接触，如果描述有问题请指出

[Defonds]

不放 redis，怎么保留用户的已登录状态？

[LawrenceSin]

引用 1 楼 defonds 的回复:

不放 redis，怎么保留用户的已登录状态？

那用JWT签发的token也是需要redis的吗，搜了一下，没看到说要用，但自己没做过，还是有些茫然

[michaelzhouh]

token信息解码之后，就包含了user_id和expire（过期时间），够用了。还需要reids存储什么呢？

[weixin_39364168]

个人觉得需要存，不存的话如何主动控制过期。

[kkdream]

JWT把一些非密信息不加密存储在JWT中，并用加密签名确认这些信息的不可更改，后台服务通过解析token来取得未修改的信息。感觉大家使用过程中加料，比如为了服务器端使JWT失效，就保存在redis中，实际你这么做就违背了JWT的初衷，干嘛不自己搞个全部加密的token呢？

[不知有熊]

jwt 可以不使用缓存 jwt 从本人经验看，不太适合取代session

[西北地的风]

不需要存到redis，如果存redis的话，还不如不用jwt，用自实现的token更好。

[cy_42]

JWT的token是保存到客户端上，服务器只是对Token进行合法性验证，并不保存。

[锋毒]

使用redis可以更新token的信息，及使用最新的token信息，在访问过程中会产生多个token redis存储保证token信息及时更新，token验证做不到
https://blog.csdn.net/baidu_35085676/article/details/78711509

[ddacz1314]

不用redis那么服务重启，用户都要登陆 使用redis那么服务重启，用户还是可以继续操作，无需登陆

[起风哥]

一般后台系统中使用jwt，jwt使请求变成无状态，如果用了jwt还用redis那么jwt将失去它原本的优势与意义。jwt本身就保存了用户信息和过期时间。

[起风哥]

引用 10 楼 ddacz1314 的回复：

不用redis那么服务重启，用户都要登陆 使用redis那么服务重启，用户还是可以继续操作，无需登陆

不用redis重启服务也不会出现用户需要重新登入的情况，因为token是保存在客户端的。

[骁行]

需不需要用redis 是需要根据自己项目来定的。 比如 很小的项目，一个视频直播软件，完全可以不用redis。 那么如何保存用户登录的有效时间呢？ 用jwt。就是token。token里面的 载荷 有一个“exp"可以设置过期时间。因为是小的视频直播软件，所以，只需要在token里面把exp的时间甚至的足够长，数字足够大（exp的时间单位默认是毫秒）就行了。

[逛窑子的李靖]

引用 7 楼 西北地的风 的回复:

不需要存到redis，如果存redis的话，还不如不用jwt，用自实现的token更好。

如果不放redis，那么如何控制同一时间一个用户只能在一处登录呢？

[fangzhihua0927]

如果需要保存用户信息就用redis，不保存就不用

[我想有个夏天]

不存redis如何一键退出

[A_foolish_rookie]

dddd

[司杨]

引用 16 楼 W2044377578 的回复:

不存redis如何一键退出

可以前端将token 丢掉，然后自动跳转到登录页面

[kkvoo]

引用 18 楼 司杨 的回复:

[quote=引用 16 楼 W2044377578 的回复:] 不存redis如何一键退出

可以前端将token 丢掉，然后自动跳转到登录页面[/quote] 单个应用的登录这样操作容易，如果这个token是可以访问多个应用 SSO。这个客户端的header，没法丢掉其他客户端的应用的header的token。但是如果其他应用的header里的token来源，是客户端同一个地方就行。例如H5的本地存储，sessionstore/localstore等。所有应用发送header里的token 从这里拿。不要从Cookie,根据域名来的。除非你的应用都在一个域名下,也行。

[kiritox]

如果用redis，我要什么token，自己写一个不好么。redis的初衷难道不是抛弃数据库？