在没有OAuth2的情况下刷新JWT

Question

我在Spring Boot应用程序和Spring Security中使用JWT进行身份验证。问题是我在文件application.properties中声明的jwt.expiration时间之后无法刷新JWT令牌，因此用户在30分钟后退出。我需要OAuth2实现还是有其他快捷方法解决此问题？

Answer 1

这是一个相当广泛的问题，但我会尽力为您指明正确的方向。

刷新令牌是授权服务器的业务。因此，您的应用程序需要与其中一个进行对话才能续订令牌。

我邀请您阅读OAuth 2.0，以了解续订的过程。具体来说，他们需要来自该授权服务器的refresh_token grant。

根据您的描述，您可能是OAuth 2.0客户端应用程序，在这种情况下，您对Spring Security's OAuth 2.0 Login和OAuth 2.0 Client支持最感兴趣。

此外，我知道您没有提出这个要求，但是我也劝阻您不要寻求“快速而肮脏的”解决方案。花些时间了解安全形势，它将在以后为您带来好处。