将用户的权限存储在JWT声明中或在每次请求时在服务器上检查它是否更有效?

JWT 这是一个很好的方法来确保发送给用户和返回的数据不会被篡改,但这会导致一些艰难的选择。目前,我正处于两难的选择中,要么将授权数据存储在JWT声明中,要么只接触数据库一次进行授权,要么只存储用户ID并检查每个请求的授权级别。

使这成为一个如此艰难的选择的是,应用程序使用多个授权级别,这使得base64编码的url相当长和庞大(请参见下面可以预期存储为授权级别的内容)。

另一方面,要获得授权,需要在数据库中进行两次查找。

所以我的问题是:; 通过将权限发送到服务器,每个请求的额外开销是否值得避免在每次请求时查找权限的麻烦?

作为补充说明;在权限更改的情况下,在数据库中查找方法的好处是不需要用户再次登录( see post ).

"perms": {
    "roles": [
        {
            "name": "Admin",
            "id": 1,
            "assigned": true
        },
        {
            "name": "Webmaster",
            "id": 8,
            "assigned": true
        }
    ],
    "actions": [
        {
            "id": 1,
            "name": "cms-edit",
            "parameters": null,
            "parameterized": null
        },
        {
            "id": 9,
            "name": "admin-syslog",
            "parameters": null,
            "parameterized": null
        },
        {
            "id": 10,
            "name": "admin-debug",
            "parameters": null,
            "parameterized": null
        },
        {
            "id": 12,
            "name": "member-list-extended",
            "parameters": null,
            "parameterized": null
        },
        {
            "id": 2,
            "name": "cms-list",
            "parameters": null,
            "parameterized": null
        },
        {
            "id": 3,
            "name": "cms-add",
            "parameters": null,
            "parameterized": null
        },
        {
            "id": 5,
            "name": "member-list",
            "parameters": null,
            "parameterized": null
        },
        {
            "id": 7,
            "name": "member-view",
            "parameters": null,
            "parameterized": null
        },
        {
            "id": 8,
            "name": "member-edit",
            "parameters": null,
            "parameterized": null
        }
    ]