无效化JSON Web Tokens

我在开发一个新的node.js项目时，考虑从基于cookie的session方式（这意味着在用户浏览器中存储用户session id到一个键值存储中）转换为基于令牌的session方式（无键值存储）使用JSON Web Tokens（jwt）。

该项目是一个利用socket.io的游戏 - 在这种情况下，基于令牌的会话对于存在单个会话中的多个通信频道（Web和socket.io）将是有用的。

如何使用jwt方法从服务器提供令牌/会话失效？

我还想了解使用这种范例时应该注意什么常见（或不常见）的陷阱/攻击。例如，如果该范例与会话存储/基于cookie的方式受到相同/不同种类的攻击威胁。

因此，我假设我有以下内容（改编自这里和这里）：

Session Store登录：

app.get('/login', function(request, response) {
    var user = {username: request.body.username, password: request.body.password };
    // Validate somehow
    validate(user, function(isValid, profile) {
        // Create session token
        var token= createSessionToken();
        // Add to a key-value database
        KeyValueStore.add({token: {userid: profile.id, expiresInMinutes: 60}});
        // The client should save this session token in a cookie
        response.json({sessionToken: token});
    });
}

基于令牌的登录：

var jwt = require('jsonwebtoken');
app.get('/login', function(request, response) {
    var user = {username: request.body.username, password: request.body.password };
    // Validate somehow
    validate(user, function(isValid, profile) {
        var token = jwt.sign(profile, 'My Super Secret', {expiresInMinutes: 60});
        response.json({token: token});
    });
}

--

Session Store方法的注销（或失效）需要在KeyValueStore数据库中使用指定的令牌更新。

由于令牌本身包含通常存在于键值存储中的信息，因此似乎在基于令牌的方式中不会存在这样的机制。