这个问题问得很精准。结合你上一个关于 Refresh Token 的问题我直接给你一个明确且分层的答案Access Token短时效令牌通常不需要存表。Refresh Token长时效令牌必须存表或 Redis。下面我详细解释为什么以及这两种 Token 在 Go 项目中的标准处理范式。1. Access Token短令牌比如 15分钟绝不存表这是 Go 社区和业界的最佳实践。原因Access Token 的使命是高频携带每次 API 请求都要带。如果每次都查数据库或 Redis 校验数据库连接池会迅速耗尽性能直接崩盘。校验方式纯本地无状态校验。收到 Token 后只用密钥在内存中验签jwt.Parse。检查exp过期时间是否在当下之后。验签通过即信任完全不查库。如何让 Access Token “失效”不存表意味着你无法主动删除它。解决方法是缩短过期时间比如 5-15分钟让其自然死亡。如果遇到用户修改密码或封号等紧急情况可以在网关层维护一个内存黑名单或 Redis 黑名单只针对极少数异常用户进行查库拦截。2. Refresh Token长令牌比如 7天必须存表或 Redis正如我上个回答所说它存表的目的不是为了验签而是为了控制状态主动撤销退出登录用户点退出你在表中把该jti标记为revoked下次刷新时拒掉。绝对过期清理依赖数据库的expires_at索引定时任务扫表清理比依赖 JWT 自带的exp更可靠因为服务端时间可控。Refresh Token 轮换旋转每次刷新时旧 Token 作废生成新 Token 入库。如果同一个旧 Token 被使用两次说明被盗用直接清空该用户所有 Token。3. 特殊情况什么时候 Access Token 也需要“存”如果你的业务有极端的即时封禁需求比如管理员封号后要求该用户 1 秒内所有操作失效而 Access Token 过期时间又设得比较长比如 1 小时那么你可以采用Redis 布隆过滤器 黑名单方案封禁时将user_id或token_jti放入 Redis 黑名单设置过期时间为 Access Token 的剩余有效期。在 Go 中间件里验签通过后再查一次 Redis判断是否在黑名单内。注意这只针对少数异常用户千万不能对所有请求都查 Redis否则失去无状态的意义。4. 生产级 Go 代码架构示例为了让你更清晰给你一个 Go 项目的标准分层逻辑go// 1. Access Token 中间件只验签不查库 func AuthMiddleware() gin.HandlerFunc { return func(c *gin.Context) { token : c.GetHeader(Authorization) // 只做本地解析和验签 claims, err : jwt.ParseWithClaims(token, MyClaims{}, func(t *jwt.Token) (interface{}, error) { return mySecret, nil }) if err ! nil || claims.ExpiresAt.Time.Before(time.Now()) { c.AbortWithStatusJSON(401, token expired) return } // 极小概率查黑名单只针对被拉黑的用户 if redis.Exists(ctx, blacklist:claims.Id).Val() 0 { c.AbortWithStatusJSON(403, revoked) return } c.Set(user_id, claims.UserID) c.Next() } } // 2. Refresh 接口必须查库 func RefreshHandler(c *gin.Context) { refreshToken : c.GetHeader(X-Refresh-Token) // 步骤1本地验签防篡改 claims, err : jwt.ParseWithClaims(refreshToken, MyClaims{}, ...) if err ! nil { c.JSON(401, invalid) return } // 步骤2查数据库关键 var dbRecord RefreshTokenModel db.Where(jti ? AND revoked ? AND expires_at ?, claims.Id, false, time.Now()).First(dbRecord) if dbRecord.ID 0 { c.JSON(401, refresh token invalid or expired) return } // 步骤3轮换策略防重放攻击 // 标记旧记录为已用 db.Model(dbRecord).Update(revoked, true) // 生成新的 Access Token 和 Refresh Token newAccess : generateAccessToken(dbRecord.UserID) newRefresh : generateRefreshToken(dbRecord.UserID) // 携带新的 jti // 插入新 Refresh Token 记录 db.Create(RefreshTokenModel{JTI: newClaims.Id, UserID: dbRecord.UserID, ExpiresAt: ...}) c.JSON(200, gin.H{ access_token: newAccess, refresh_token: newRefresh, }) }5. 最终结论面试/答辩标准答案Token 类型是否存表核心原因Access Token否高频校验存表会导致严重性能瓶颈。依赖本地验签 短过期时间保证安全。Refresh Token是低频刷新几分钟一次。为了可撤销、防重放攻击和设备管理必须持久化状态。如果你的 Go 项目用的是 Redis 而不是 MySQL 存 Refresh Token也完全没问题只要保证持久化开启 AOF/RDB即可性能更高且天然支持 TTL。现在可以对照你的项目检查一下如果你们的 Access Token 也查了库那说明代码有优化空间如果 Refresh Token 没存库那说明存在严重安全隐患建议尽快补齐。
