前同事把 jwt token 存在 sql 里，做法是不是有问题？

[yamedie]

在一个公众号外包项目里，与前同事不期而遇，他后端我前端。jwt 竟然被这样应用，想问：

1、这种使用姿势好处在哪里？感觉如果不验证 token 只读库比对的话，也许自己生成个 uuid 与 userId 做关联就可以了，为什么要用 jwt ？

2、验证 jwt 有这么耗时吗？之前用 nodejs 写过 jwt 的 demo，没有察觉到解码 jwt 的开销。

3、是否 secret 写的简短一些，token 就会短一些，解码耗时就少一些？

[xiangyuecn]

翻页😎

[alaikis]

存数据库没问题，传用户 ID 没必要吧

[chinvo]

@abcbuzhiming #95 原理上来讲自己实现一个加密、签名逻辑，等于造了个 jwt 轮子。

密码学和信息安全上最忌讳闭门造车，所以把 jwt “扩展”一下这样用是很普遍的。

比如 asp.net core identity 就可以把 session 配置为数据库存储，以大幅度减小 cookie 和 token 体积，identityserver 和 asos 在这种模式下发放的 token 就是我前面说的模式。