当前位置：首页 > news >正文

面试中被嘲笑Token放在Redis里？这把给我干沉默了...

news 2026/5/22 16:22:09

因公众号更改推送规则，请点“在看”并加“星标”第一时间获取精彩技术分享

点击关注#互联网架构师公众号，领取架构师全套资料都在这里

0、2T架构师学习资料干货分

上一篇：2T架构师学习资料干货分享

大家好，我是互联网架构师！

面试被问登录认证怎么做，你说"Token 放 Redis 里"。面试官笑了一下，说你不懂 JWT 的无状态设计。

这场景不少见。知乎上有人专门问过，底下争了半天，说的其实是同一件事：选型没问题，但你没说清楚为什么选。

这篇文章把这件事说清楚：从 JWT 是什么，到放 Redis 的原因，再到面试里怎么回答。

JWT 到底是什么

JWT 全称 JSON Web Token，说白了就是一段字符串，用点号分成三段：Header、Payload、Signature。

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9. eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIn0. SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

JWT的三段结构：Header（算法类型）、Payload（用户信息）、Signature（签名），三部分Base64编码后用点号连接

Header：声明算法类型（比如 HS256）
Payload：存用户信息（用户 ID、角色、过期时间）。只是 Base64 编码，不是加密——任何人拿到 token 都能解码看到内容，密码绝对不能放
Signature：用 Header + Payload + 服务端密钥算出来的签名，作用是防篡改

整个验证流程：

JWT认证完整流程：用户登录→服务端签发Token→客户端存储→请求时带上Token→服务端验签

登录成功 → 服务端签发 Token → 客户端保存（一般放 localStorage）→ 每次请求在 Header 里带上Authorization: Bearer <token>→ 服务端验签，从 Payload 取用户信息。全程不查数据库、不查 Redis，自给自足。这就是"无状态"的意思。

JWT"无状态"的代价：四个致命场景

无状态听起来很美，上线后就知道了。

场景一：账号被盗，无法立即踢人。Token 有效期 2 小时，现在还剩 1 小时 45 分钟。怎么让它立刻失效？纯 JWT 做不到——已签发的 token 在过期前一直有效。

场景二：封禁用户不生效。账号封了，但手里的 token 还能用。

场景三：改密码不踢其他设备。用户改了密码，想让其他设备全部失效。纯 JWT 做不到。

场景四：token 过期吞表单。用户填了 20 多分钟的表单，点提交，token 过期了，整个内容全丢。

这四个场景加在一起，几乎是所有正经业务系统都会碰到的问题。

为什么要把 Token 放 Redis

解决上面这些问题，最直接的方案是黑名单。

用户被踢下线时，把 token 加进黑名单。每次请求先查黑名单，在里面就拒。黑名单存哪？内存不行（多台服务器不共享，重启丢），数据库太慢（每个请求都查一次受不了），Redis 最合适——查询不到 1ms，分布式共享。

// 退出登录时，把 token 加入黑名单 public void logout(String token) { long expiration = jwtUtil.getExpiration(token); long ttl = expiration - System.currentTimeMillis(); if (ttl > 0) { redisTemplate.opsForValue().set( "blacklist:" + token, "1", ttl, TimeUnit.MILLISECONDS ); } } // 验证 token 时，先查黑名单 public boolean isTokenValid(String token) { if (redisTemplate.hasKey("blacklist:" + token)) { returnfalse; } return jwtUtil.verify(token); }

Redis 只存"已失效"的 token，平时没什么写入，查询也快。

还有更彻底的方案：直接把 token 存 Redis，每次验证都去 Redis 查。这和传统 Session 没太大区别，只是借了 JWT 格式当 Session ID 用。