JWT双令牌认证已经成为现代Web应用安全架构的核心组件特别是无感刷新和黑名单机制的组合方案能够有效平衡安全性与用户体验。这次我们深入分析大厂标配的双令牌认证方案重点讲解如何实现无感刷新流程和基于Redis的黑名单即时失效机制。这套方案的核心价值在于用户登录后获得access_token和refresh_token两个令牌access_token用于日常API调用有效期较短refresh_token专门用于令牌刷新有效期较长。当access_token过期时系统自动使用refresh_token获取新令牌用户完全无感知。同时通过Redis黑名单机制确保被撤销的令牌立即失效防止令牌被盗用。1. 核心能力速览能力项技术说明认证方式JWT双令牌access_token refresh_token无感刷新前端拦截401响应自动使用refresh_token获取新access_token黑名单机制Redis存储已失效但未过期的token实现即时撤销令牌有效期access_token: 15-30分钟refresh_token: 7-30天适用场景Web应用、移动端APP、微服务架构技术栈Spring Boot/Node.js Redis JWT2. 适用场景与使用边界双令牌认证特别适合需要高安全标准的业务场景。对于金融应用、电商平台、企业管理系统等涉及敏感数据的系统这种方案能够在保持用户登录状态的同时有效控制安全风险。适合场景需要长时间保持登录状态的Web应用移动端APP的持久化登录微服务架构下的统一认证对安全性要求较高的业务系统不适合场景简单的静态网站或博客系统内部工具类应用可使用单令牌简化方案对性能要求极高的实时系统Redis操作有轻微开销安全边界提醒虽然双令牌方案提升了安全性但仍需配合HTTPS传输、合理的令牌有效期设置、安全的密钥管理等措施。涉及用户敏感信息时必须确保Redis服务器的安全配置和访问控制。3. 环境准备与前置条件在开始实现双令牌认证前需要准备以下技术环境基础环境要求Java 8 或 Node.js 14 运行环境Redis 5.0 服务器本地或远程项目构建工具Maven 3.6 或 npm 6.0依赖组件清单对于Spring Boot项目需要在pom.xml中添加dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-data-redis/artifactId /dependency dependency groupIdio.jsonwebtoken/groupId artifactIdjjwt-api/artifactId version0.11.5/version /dependency dependency groupIdio.jsonwebtoken/groupId artifactIdjjwt-impl/artifactId version0.11.5/version /dependency dependency groupIdio.jsonwebtoken/groupId artifactIdjjwt-jackson/artifactId version0.11.5/version /dependency对于Node.js项目package.json依赖{ dependencies: { jsonwebtoken: ^9.0.0, ioredis: ^5.3.0, express: ^4.18.0 } }Redis配置检查确保Redis服务正常运行并测试连接# 检查Redis服务状态 redis-cli ping # 如果返回PONG表示连接正常4. 双令牌生成与签发逻辑双的核心在于同时生成两个不同用途的JWT令牌设置合理的有效期差异。令牌生成示例Javapublic class JwtTokenProvider { private final String jwtSecret your-secret-key; private final long accessTokenExpiration 15 * 60 * 1000; // 15分钟 private final long refreshTokenExpiration 7 * 24 * 60 * 60 * 1000; // 7天 public TokenPair generateTokenPair(String username) { Date now new Date(); Date accessTokenExpiry new Date(now.getTime() accessTokenExpiration); Date refreshTokenExpiry new Date(now.getTime() refreshTokenExpiration); // 生成access_token String accessToken Jwts.builder() .setSubject(username) .setIssuedAt(now) .setExpiration(accessTokenExpiry) .signWith(SignatureAlgorithm.HS512, jwtSecret) .compact(); // 生成refresh_token String refreshToken Jwts.builder() .setSubject(username) .setIssuedAt(now) .setExpiration(refreshTokenExpiry) .signWith(SignatureAlgorithm.HS512, jwtSecret) .compact(); return new TokenPair(accessToken, refreshToken); } }令牌响应结构{ access_token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..., refresh_token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..., token_type: Bearer, expires_in: 900, refresh_expires_in: 604800 }5. 无感刷新实现机制无感刷新的核心是前端自动检测access_token过期并在用户无感知的情况下完成令牌刷新。前端拦截器实现JavaScriptclass AuthInterceptor { constructor() { this.isRefreshing false; this.requests []; } async requestInterceptor(config) { const token localStorage.getItem(access_token); if (token) { config.headers.Authorization Bearer ${token}; } return config; } async responseInterceptor(error) { const originalRequest error.config; // 检测到401错误且不是刷新令牌的请求 if (error.response.status 401 !originalRequest._retry) { if (this.isRefreshing) { // 如果正在刷新将请求加入队列 return new Promise((resolve) { this.requests.push(() { originalRequest.headers.Authorization Bearer ${localStorage.getItem(access_token)}; resolve(axios(originalRequest)); }); }); } originalRequest._retry true; this.isRefreshing true; try { // 使用refresh_token获取新access_token const refreshToken localStorage.getItem(refresh_token); const response await axios.post(/api/auth/refresh, { refresh_token: refreshToken }); const newAccessToken response.data.access_token; localStorage.setItem(access_token, newAccessToken); // 重试原始请求 originalRequest.headers.Authorization Bearer ${newAccessToken}; // 执行队列中的等待请求 this.requests.forEach(callback callback()); this.requests []; return axios(originalRequest); } catch (refreshError) { // 刷新失败跳转到登录页 localStorage.removeItem(access_token); localStorage.removeItem(refresh_token); window.location.href /login; return Promise.reject(refreshError); } finally { this.isRefreshing false; } } return Promise.reject(error); } }后端刷新接口实现Spring BootRestController RequestMapping(/api/auth) public class AuthController { Autowired private RedisTemplateString, String redisTemplate; PostMapping(/refresh) public ResponseEntity? refreshToken(RequestBody RefreshRequest request) { try { // 验证refresh_token有效性 Claims claims Jwts.parser() .setSigningKey(jwtSecret) .parseClaimsJws(request.getRefreshToken()) .getBody(); String username claims.getSubject(); // 检查refresh_token是否在黑名单中 if (redisTemplate.hasKey(blacklist: request.getRefreshToken())) { return ResponseEntity.status(401).body(Token revoked); } // 生成新的令牌对 TokenPair newTokens jwtTokenProvider.generateTokenPair(username); // 将旧的refresh_token加入黑名单 redisTemplate.opsForValue().set( blacklist: request.getRefreshToken(), revoked, Duration.ofMillis(getRemainingTime(claims)) ); return ResponseEntity.ok(newTokens); } catch (ExpiredJwtException e) { return ResponseEntity.status(401).body(Refresh token expired); } catch (JwtException e) { return ResponseEntity.status(401).body(Invalid token); } } private long getRemainingTime(Claims claims) { return claims.getExpiration().getTime() - System.currentTimeMillis(); } }6. Redis黑名单即时失效机制黑名单机制的核心思路是在令牌被撤销或刷新后将其标识符存入Redis并在每次令牌验证时检查黑名单。黑名单服务设计Service public class TokenBlacklistService { Autowired private RedisTemplateString, String redisTemplate; // 将令牌加入黑名单 public void addToBlacklist(String token, long expirationTime) { String key blacklist: token; redisTemplate.opsForValue().set(key, revoked, Duration.ofMillis(expirationTime)); } // 检查令牌是否在黑名单中 public boolean isBlacklisted(String token) { return Boolean.TRUE.equals(redisTemplate.hasKey(blacklist: token)); } // 用户登出时将当前access_token和refresh_token都加入黑名单 public void logout(String accessToken, String refreshToken) { Claims accessClaims parseToken(accessToken); Claims refreshClaims parseToken(refreshToken); if (accessClaims ! null) { addToBlacklist(accessToken, getRemainingTime(accessClaims)); } if (refreshClaims ! null) { addToBlacklist(refreshToken, getRemainingTime(refreshClaims)); } } }令牌验证过滤器增强Component public class JwtAuthenticationFilter extends OncePerRequestFilter { Autowired private TokenBlacklistService blacklistService; Override protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException { String token getJwtFromRequest(request); if (token ! null validateToken(token)) { // 检查令牌是否在黑名单中 if (blacklistService.isBlacklisted(token)) { response.setStatus(HttpServletResponse.SC_UNAUTHORIZED); return; } // 正常的认证逻辑... } filterChain.doFilter(request, response); } }7. 完整登录/刷新/登出流程测试为了验证双令牌方案的实际效果需要完整测试整个认证流程。测试用例1正常登录流程# 1. 用户登录 curl -X POST http://localhost:8080/api/auth/login \ -H Content-Type: application/json \ -d {username:testuser,password:password123} # 预期响应包含access_token和refresh_token { access_token: eyJ..., refresh_token: eyJ..., expires_in: 900, refresh_expires_in: 604800 }测试用例2access_token过期自动刷新// 模拟前端请求先使用有效token然后模拟过期场景 // 第一次请求成功 await api.getUserInfo(); // 手动修改本地token为过期值模拟token过期 localStorage.setItem(access_token, expired_token_here); // 第二次请求应该触发自动刷新 await api.getUserInfo(); // 应该成功且控制台显示刷新过程测试用例3主动登出测试// 登出接口测试 PostMapping(/logout) public ResponseEntity? logout(HttpServletRequest request) { String accessToken getJwtFromRequest(request); String refreshToken request.getHeader(Refresh-Token); blacklistService.logout(accessToken, refreshToken); return ResponseEntity.ok(Logged out successfully); }8. 性能优化与资源管理双令牌方案虽然提升了安全性但也带来了额外的Redis操作开销需要合理优化。Redis内存优化策略Configuration public class RedisConfig { Bean public RedisTemplateString, String redisTemplate(RedisConnectionFactory factory) { RedisTemplateString, String template new RedisTemplate(); template.setConnectionFactory(factory); // 使用String序列化节省空间 template.setKeySerializer(new StringRedisSerializer()); template.setValueSerializer(new StringRedisSerializer()); template.setHashKeySerializer(new StringRedisSerializer()); template.setHashValueSerializer(new StringRedisSerializer()); return template; } }黑名单数据清理策略Component public class BlacklistCleanupTask { Scheduled(cron 0 0 2 * * ?) // 每天凌晨2点执行 public void cleanupExpiredBlacklists() { // Redis的过期key会自动清理这里主要处理异常情况 log.info(Starting blacklist cleanup task); } }缓存预热策略对于高并发系统可以考虑在应用启动时预加载频繁使用的黑名单数据到本地缓存减少Redis访问压力。9. 常见问题与排查方法在实际部署过程中可能会遇到各种问题以下是典型问题及解决方案。问题现象可能原因排查方式解决方案刷新令牌返回401refresh_token过期或已被撤销检查Redis黑名单、验证令牌有效期引导用户重新登录内存占用过高黑名单数据积累过多监控Redis内存使用检查令牌有效期设置调整令牌有效期定期清理并发请求时多次刷新前端拦截器逻辑缺陷检查请求队列实现添加刷新状态锁完善请求排队机制Redis连接超时网络问题或Redis配置不当检查Redis连接池配置监控网络状态调整超时时间优化连接池典型错误排查示例// 错误的黑名单检查时机 public boolean validateToken(String token) { try { Claims claims Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody(); // 错误先验证JWT有效性后检查黑名单 // 应该先检查黑名单再验证JWT if (blacklistService.isBlacklisted(token)) { return false; } return !claims.getExpiration().before(new Date()); } catch (Exception e) { return false; } }10. 安全最佳实践在实施双令牌方案时需要遵循以下安全最佳实践密钥管理安全使用足够复杂的密钥至少256位定期轮换签名密钥不同环境使用不同密钥开发、测试、生产传输安全强制使用HTTPS协议设置安全的Cookie属性HttpOnly、Secure、SameSite避免在URL中传递令牌令牌安全设置合理的有效期access_token: 15-30分钟refresh_token: 7-30天实现令牌撤销机制监控异常令牌使用模式Redis安全设置Redis访问密码配置网络访问限制定期备份和监控Redis数据通过这套完整的双令牌认证方案不仅能够实现用户无感刷新体验还能通过Redis黑名单机制确保令牌安全。在实际项目中建议根据具体业务需求调整令牌有效期和黑名单策略在安全性和性能之间找到最佳平衡点。关键实施要点前端需要完善请求拦截和自动刷新逻辑后端要确保黑名单检查的高效性Redis配置要优化内存使用和访问性能。这套方案经过多个大厂项目验证能够有效提升Web应用的安全防护水平。