stateless JWT 无法实现即时封禁？基于 Redis 存储用户状态及 Token 吊销黑名单的分布式鉴权权衡

import { Redis } from 'ioredis';
import * as jwt from 'jsonwebtoken';

const redis = new Redis({
  host: '127.0.0.1',
  port: 6379,
  maxRetriesPerRequest: 3,
});

interface JwtPayload {
  sub: string; // userId
  jti: string; // Token唯一标识
  exp: number; // 过期戳（秒）
  role: string;
}

export async function verifyAndCheckBlacklist(token: string): Promise<JwtPayload | null> {
  try {
    // 1. 快速校验 Token 签名与基础时效
    const decoded = jwt.verify(token, 'your-jwt-secret-key-do-not-leak') as JwtPayload;
    if (!decoded.jti || !decoded.exp) {
      return null;
    }

    // 2. 检查 Redis 中是否存在该 Token 的吊销黑名单记录
    const blacklistKey = `jwt:blacklist:${decoded.jti}`;
    const isBlacklisted = await redis.exists(blacklistKey);
    if (isBlacklisted === 1) {
      console.warn(`[Auth] 拦截到已被吊销的泄露 Token, JTI: ${decoded.jti}`);
      return null;
    }

    // 3. 检查用户账号是否被封禁/限制
    // 为了防止每次 API 请求都查 DB，我们在此处对用户状态做一层秒级缓存
    const userStatusKey = `user:status:${decoded.sub}`;
    let userStatus = await redis.get(userStatusKey);

    if (!userStatus) {
      // 缓存未命中时去查 DB（此处以模拟代替）
      const realStatusFromDb = await mockGetUserStatusFromDb(decoded.sub);
      userStatus = realStatusFromDb;
      // 缓存 5 秒，平衡数据实时性与高并发下的 Redis 负载
      await redis.set(userStatusKey, realStatusFromDb, 'EX', 5);
    }

    if (userStatus === 'frozen') {
      console.warn(`[Auth] 拒绝访问，用户账户已冻结, UID: ${decoded.sub}`);
      return null;
    }

    return decoded;
  } catch (err) {
    console.error('[Auth] Token 校验抛出异常:', err);
    return null;
  }
}

// 模拟账号注销/封禁时写入 Redis 黑名单的逻辑
export async function revokeToken(token: string): Promise<boolean> {
  try {
    const decoded = jwt.decode(token) as JwtPayload;
    if (!decoded || !decoded.jti || !decoded.exp) {
      return false;
    }
    const now = Math.floor(Date.now() / 1000);
    const timeLeft = decoded.exp - now;

    if (timeLeft > 0) {
      const blacklistKey = `jwt:blacklist:${decoded.jti}`;
      // 将 Token 写入黑名单，生存时间刚好等于 Token 剩余的有效期
      await redis.set(blacklistKey, 'revoked', 'EX', timeLeft);
      console.log(`[Auth] 成功吊销 Token, JTI: ${decoded.jti}, 剩余有效时间: ${timeLeft} 秒`);
    }
    return true;
  } catch (err) {
    console.error('[Auth] 吊销 Token 失败:', err);
    return false;
  }
}

async function mockGetUserStatusFromDb(userId: string): Promise<string> {
  return new Promise((resolve) => {
    setTimeout(() => {
      resolve(userId === '10086' ? 'frozen' : 'active');
    }, 20);
  });
}