@zzzzzzggggggg

jwt 不用作废，只是 jwt 之后，肯定还对了一个用户吧，其实和 session 一样的，你不是要去删除这个 session_id 或者这个 token，而是收到 session 和 token 之后，服务端必须验证他们有效性，这里加一个判断他们是否还真实有效，比如用户状态已经改为删除，这时候就需要返回 token 无效，不需要再做什么黑名单。


前面分析了，jwt 和 session 其实没有区别（加密后的 Session id 就等于 token ），只是 session id 依赖 cookie，所以必须基于浏览器或者模拟 cookiejar，cookie 有 domain 限制，需要在一个 domain 下才能使用，且历史原因，大量 web 程序都为 session 提供了很多解决方案，比如脚本语言都提供了全局变量，session 钩子类或方法，所以做不跨域的 web 时候，可能使用 session 更加方便。而 jwt 无需依赖 cookie，所以没有域名要求，所以对于前后端分离的处于两个域的，客户端不是 web 的，用 jwt 更加方便。