Redis在jwt中作用小结

# 登出时加入黑名单
def logout(token_jti, exp_timestamp):
    ttl = exp_timestamp - current_time()
    redis.setex(f"blacklist:{token_jti}", ttl, "revoked")

# 验证时检查
def is_token_valid(token_jti):
    return not redis.exists(f"blacklist:{token_jti}")

# 登录时记录设备
redis.lpush(f"user:{user_id}:sessions", token_jti)
redis.ltrim(f"user:{user_id}:sessions", 0, 2)  # 只保留最近3个

# 验证时检查当前 Token 是否在列表中
valid_tokens = redis.lrange(f"user:{user_id}:sessions", 0, -1)
if token_jti not in valid_tokens:
    raise Exception("账号已在其他设备登录")

# 存储 Refresh Token 与用户绑定
redis.setex(
    f"refresh:{user_id}:{device_id}", 
    7*24*3600,  # 7天过期
    hash(refresh_token)  # 存储哈希值防泄露
)

# 刷新时验证
stored_hash = redis.get(f"refresh:{user_id}:{device_id}")
if stored_hash != hash(incoming_refresh_token):
    raise Exception("Refresh Token 无效或已轮换")

# 登录失败计数（防暴力破解）
key = f"login_attempts:{ip}"
attempts = redis.incr(key)
if attempts == 1:
    redis.expire(key, 3600)  # 1小时窗口
if attempts > 5:
    raise Exception("尝试次数过多，请稍后再试")

# Token 使用频率限制（防 Token 泄露后被滥用）
redis.zadd(f"token:{jti}:requests", {current_time(): current_time()})
# 清理1分钟前的记录
redis.zremrangebyscore(f"token:{jti}:requests", 0, current_time()-60)
if redis.zcard(f"token:{jti}:requests") > 100:
    # 1分钟内请求超过100次，可能泄露，加入黑名单
    redis.setex(f"blacklist:{jti}", 3600, "suspected_leak")