@sujin190 API 开发中你无法得知用户什么时候是进入网站，对于后台而言用户的每一次都是从数据库查询重新登录。这个并发是指同一个用户同一时间发起多个请求，这时候 token 已经过期，如果不做并发处理，第一个请求刷新了 token，后面的那几个请求都是无效的。

@m939594960 你说授权可能需要 passport oauth，jwt 拿来做 API 的登录验证，我觉得完全 OK，还有你说的这几个问题都已经有解决方案了：
1. 同一个账号如果多次登录，这个很容易解决，只要用户表加一个字段标记当前 token 就行，如果不是，直接告诉已经在其他地方登录
2. 现在 jwt-auth 都可以主动拉黑 token， 所以你这个问题很容易解决，只要在修改密码之后拉黑当前登录的 token 即可
3. 并发问题已经解决的，我设置了 5 s，代表当前所有请求的 token 就算过期，还是可以再使用 5s，
其实你说的这些安全问题，都已经把 token 弄丢了，还谈什么安全呢，就算传统 web，你把登录的 cookie 弄丢了，别人也能伪造身份（所以 token 过期时间可以设置短一点）
@pynix 不听懂，token 不都是服务端生成吗 >_<
@GTim 既然能标识身份，所以做登录验证完全没问题，我没太听懂你要表达什么。