我做了两个项目的登录功能后，目前的方案是：accessToken 过期时间设置短些，如果过期则前端用 refreshToken 获取新 token 即可（对用户来说是无感知的替换了 accessToken ）。jwt 和 redis 选择一种方案即可，jwt 本身有附带信息解密即可，如果用 redis 关联 token-用户信息查询也很快。

两种方案都有尝试过，相对更倾向加上 redis 去做记录，如果想要在服务端清除用户本次的登录状态，如果有 redis 记录就方便些；如果用的是纯 jwt 的话，不是很好办，最终还是要服务端记录这个 jwt 。

楼主的过期超时 20 分钟的缓冲，其实就是 refreshToken 方式, 刚开始接触的时候，也用过这种 token 替换 token 的方式，后来发现还有 refreshToken 这种方式，非常适合这种频繁操作时延长 token 有效期的场景