将JWT与基于角色的授权一起使用

背景

我正在使用Spring Security开发一个Web应用程序，并尝试首次使用JSON Web令牌进行身份验证。该应用应根据用户角色限制对某些URI的访问。它应该提供密码更改选项，并使Admin用户能够更改其他用户的角色。

在我遵循的教程中，在对服务器的每个HTTP请求上，数据库都被命中CustomUserDetailsService以加载用户的当前详细信息，这似乎对性能造成很大的影响：

public class JwtAuthenticationFilter extends OncePerRequestFilter {

    //...

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, 
                                    FilterChain filterChain) throws ServletException, IOException {
        try {
            String jwt = getJwtFromRequest(request);

            if (StringUtils.hasText(jwt) && tokenProvider.validateToken(jwt)) {
                Long userId = tokenProvider.getUserIdFromJWT(jwt);

                UserDetails userDetails = customUserDetailsService.loadUserById(userId);
                UsernamePasswordAuthenticationToken authentication = 
                        new UsernamePasswordAuthenticationToken(userDetails, null, userDetails.getAuthorities());
                authentication.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));

                SecurityContextHolder.getContext().setAuthentication(authentication);
            }
        } catch (Exception ex) {
            logger.error("Could not set user authentication in security context", ex);
        }

        filterChain.doFilter(request, response);
    }

    //...

}

本教程的作者提出了另一个选择：

请注意，您还可以在JWT声明中对用户的用户名和角色进行编码，并通过解析来自JWT的声明来创建UserDetails对象。

但是，这样做的代价是很难更改用户的角色，因为我们无法跟踪已发行的令牌而无法丢弃它们。

可能的解决方案

我研究了JWT的主题，并提出了以下解决方案：

让我们将用户名和角色存储在JWT声明中，并设置较短的令牌到期时间（使用exp声明）-在此期间（例如15分钟）后，我们进入数据库以检查用户的详细信息。如果角色已更改，我们将在有效负载中生成具有新角色的新令牌。如果密码已更改，我们要求用户在生成新令牌之前重新进行身份验证。

该解决方案的一个明显缺点是，用户访问权限的任何更改在到期时间段之后都是有效的。

题

还有其他方法可以解决使用JWT时处理用户详细信息更改的问题吗？