@dorothyREN 这样确实能解决私钥保存的问题，但感觉也丢失了分布式单点登陆的特色...

@dzdh 也是个好办法

@momocha ok ，了解，感谢各位大佬的解答

@dzdh 嗯嗯，但感觉内部人员还是可以去服务器内拿到私钥，然后自己任意创建 token.

hashcode = murmurhash(盐+时间戳+userid)

额，不应该关注幂等性，新增、修改、删除接口返回什么数据比较好？

linux 系统的响应方式，就是操作成功，不返回数据，操作失败，返回异常信息。在业务系统里，这种响应方式是否为主流？个人更倾向于返回操作的记录的主键[id]。

@xupefei 感谢大佬，想到了 pg 数据库的实现，实测有提升，sql 如下：

select t1.person_id
from person_tag t1
join person_tag t2
on t1.person_id=t2.person_id
and t1.tag_id in(1,2,3)
group by t1.person_id
having array_agg( t2.tag_id ) <@ array[1,2,3]

@xupefei 现在只是使用 mysql，数据库不支持数组函数，这个实现逻辑很好，感觉效率会更高，如果是使用 postgresql,应该也能实现