用 authVersion 和 Redis 黑名单让 JWT 能注销
本文围绕 JWT 在实际项目中的安全短板展开，分析了“无法主动撤销 Token、改密后旧 Token 仍有效、管理员降权失效、登录接口易被爆破”等常见问题，并给出一套工程化解决方案。通过 `authVersion` 实现账号级 Token 全局失效，通过 Redis + SHA-256 黑名单实现单设备注销，通过 Lua 脚本完成账号与 IP 双维度限流，再结合过滤器分层校验，实现从签发、验证到撤销的完整安全闭环。文章同时讨论了 Redis TTL、分布式锁、Redis Cluster hash tag、密钥强校验等细节，展示如何在保留 JWT 无状态优势的同时，补齐其安全缺陷，构建一套可靠的认证体系。