要做实时登出的客户端 API，是不是完全不适合 JWT 鉴权？每个请求都要验证 token 有效性，传输和验证签名看起来是在浪费资源

RT

我觉得只跑一个实例单体应用都不适合。其他情况或许有适合的用例。
要用 jwt 实现的话，做 token 黑名单查也能做出实时的效果。

登录还是 session 做吧。

感觉除非分布式要求非常高，无数台机子要分布式验证，真心不如 session

JWT 有个办法,就是针对 token 增加时间戳,每次删除后,更新最新的时间戳,然后存到 redis 里面,比较时间戳之后的即可

@excxapp 这不就是 session 吗？这样有啥意义，用着 jwt 但是自己造了个 session ？

想法很好，设计是可行的。不过有点需要注意，如果权限数据很多，不建议直接放到 jwt 里。

jwt 是无状态的，踢人不适合 jwt ，用黑名单反而复杂了

@excxapp 如果每个请求，都要去 redis 判断一下，是否登出了，

为何不把 JWT 里的内容，挪到 redis 里，拿不到就是登出呢？

这样，每个网络请求能更小，带宽需求更低呀？