Go语言Gin框架中使用 JWT 实现多终端设备单点登录限制-Golang-PHP中文网

jwt单点登录通过设备指纹+redis实现踢旧会话：用ip、ua、设备类型生成device_id存自定义claim，redis以user:uid:device:did存jti，登录时删旧token，校验时查jti有效性。

go语言gin框架中使用 jwt 实现多终端设备单点登录限制

JWT Token 中如何携带设备标识并校验唯一性

单点登录限制的本质不是“禁止重复登录”，而是“踢掉旧会话”。Gin 本身不处理会话生命周期，得靠 JWT 载荷（claims）和后端存储协同实现。关键在于：每次登录必须生成带设备指纹的 Token，并在签发时记录该设备 ID + 用户 ID 的映射关系。

设备标识不能只依赖前端传来的 User-Agent（易伪造），建议组合以下字段生成哈希：ip + user_agent + device_type（如 web / ios / android）。服务端用 sha256.Sum256 计算固定长度指纹，存入 Redis 的键如 user:123:device:abc123，值为当前 Token 的 jti（JWT 唯一 ID）。

常见错误是把设备 ID 放进 sub 或 iss 字段——这些字段语义固定，应严格按 RFC 7519 使用。正确做法是扩展自定义 claim，例如：device_id、login_at（时间戳）、exp（配合 Redis 过期时间对齐）。

Gin 中间件如何拦截并踢出旧设备 Token

用户再次登录时，先根据 user_id 查询 Redis 中所有已存的设备记录，逐个调用 redis.Del() 删除旧 Token 对应的 key（如 token:xxx），再把新 Token 写入。注意：必须在签发新 Token 前完成清理，否则会出现窗口期冲突。

中间件验证 Token 时，除了标准 jwt.Parse 和签名校验，还需额外查 Redis 确认该 jti 是否仍有效。若返回 nil（Key 不存在），说明已被踢出，直接返回 401 Unauthorized 并附带错误信息 "token revoked"。

要点：

Redis key 设计要支持快速扫描：用 user:{uid}:devices 存设备 ID 列表，每个设备 ID 对应一个 token:{jti} 的 string 类型 key
不要用 GETALL 拉全量数据再遍历，应直接 DEL token:{old_jti}
Redis 过期时间必须略长于 JWT 的 exp（比如 +30s），防止因时间差导致误判

前端登出时如何确保服务端同步失效 Token

前端调用登出接口，本质是让服务端把当前 Token 加入黑名单（或删除对应设备记录）。但 JWT 本身无状态，无法“主动作废”，只能靠外部存储拦截。

Gin框架 1.9.0

Gin框架 1.9.0版本源码包下载，版本号 1.9.0，适合需要 sonic JSON 支持、路由修复和内容协商改进的 Go Web 开发场景。

下载

推荐做法：登出请求携带 Authorization 头中的 Token，后端解析出 jti 和 device_id，执行 redis.Del("token:" + jti) 和 redis.LRem("user:{uid}:devices", 0, device_id)。如果用的是黑名单模式，就写入 blacklist:{jti} 并设 TTL 等于剩余过期时间（需从 exp 减去当前时间计算）。

容易踩的坑：