spring security jwt验证咨询？

Question

spring security jwt调用退出接口/logout的时候，jwt token过滤器解析jwt如果解析失败、或者签名验证失败，如何处理比较好？是返回jwt无效、还是退出失败？不好判断是不是退出接口啊，不想代码里面写死判断URL是否为/logout

Answer 1

spring security的登录、退出接口都是写死地址的？

Answer 2

基于退出登录逻辑考虑

这是一个功能性的场景，不要用代码层次去思考。如果有Session且有效，直接清除就好；其他场景返回200 ok即可。

关于JWT

它本身是为了无状态考虑，理论上不会在服务器端存储任何东西。所以使用JWT的退出操作，就是前端将Token清除即可，无需与服务器进行任何通信。(除非有一些其他业务场景的考虑)

---

本文参与了SegmentFault 思否面试闯关挑战赛，欢迎正在阅读的你也加入。