Как обеспечить безопасность управления сессиями через JWT, чтобы пользователь мог закрывать свои сессии

Используйте JWT с коротким сроком жизни (access token) и refresh token. При выходе пользователя инвалидируйте refresh token на сервере (храните в БД/Redis). Пример:

// Генерация токенов
String accessToken = Jwts.builder()
    .setSubject(username)
    .setExpiration(new Date(System.currentTimeMillis() + 15 * 60 * 1000)) // 15 мин
    .signWith(SignatureAlgorithm.HS512, secret)
    .compact();

String refreshToken = UUID.randomUUID().toString();
// Сохраняем refreshToken в БД с флагом active

// Выход пользователя
public void logout(String refreshToken) {
// В БД помечаем refreshToken как неактивный
refreshTokenRepository.deactivate(refreshToken);
}

// Проверка при refresh
if (!refreshTokenRepository.isActive(refreshToken)) {
throw new SecurityException("Token revoked");
}

Дополнительные меры:
- Храните токены в HttpOnly куках
- Используйте CSRF-токены для форм
- Реализуйте blacklist для access токенов при необходимости