JSON Web Token の無効化 質問する

私が取り組んでいる新しい node.js プロジェクトでは、Cookie ベースのセッション アプローチ (つまり、ユーザーのブラウザー内のユーザー セッションを含むキー値ストアに ID を保存する) から、JSON Web Token (jwt) を使用するトークン ベースのセッション アプローチ (キー値ストアなし) に切り替えることを考えています。

このプロジェクトは socket.io を利用するゲームです。トークンベースのセッションは、単一のセッション (Web と socket.io) に複数の通信チャネルが存在するようなシナリオで役立ちます。

jwt アプローチを使用してサーバーからトークン/セッションの無効化を提供するにはどうすればよいでしょうか?

また、この種のパラダイムで注意すべき一般的な（または一般的でない）落とし穴や攻撃についても理解したいと思いました。たとえば、このパラダイムは、セッション ストア/Cookie ベースのアプローチと同じ/異なる種類の攻撃に対して脆弱であるかどうかなどです。

そこで、次のようなものがあったとします（これそしてこれ):

セッションストアログイン:

app.get('/login', function(request, response) {
    var user = {username: request.body.username, password: request.body.password };
    // Validate somehow
    validate(user, function(isValid, profile) {
        // Create session token
        var token= createSessionToken();

        // Add to a key-value database
        KeyValueStore.add({token: {userid: profile.id, expiresInMinutes: 60}});

        // The client should save this session token in a cookie
        response.json({sessionToken: token});
    });
}

var jwt = require('jsonwebtoken');
app.get('/login', function(request, response) {
    var user = {username: request.body.username, password: request.body.password };
    // Validate somehow
    validate(user, function(isValid, profile) {
        var token = jwt.sign(profile, 'My Super Secret', {expiresInMinutes: 60});
        response.json({token: token});
    });
}