token相关

超、凢脫俗 2022-10-03 00:44 126阅读 0赞

Token 是在服务端产生的，如果前端使用用户名/密码向服务端请求认证，服务端认证成功，那么在服务端会返回 Token 给前端。前端可以在每次请求的时候带上 Token 证明自己的合法地位

Token 能解决哪些问题呢？有如下几点：

*  **Token 完全由应用管理，所以它可以避开同源策略。**
 *  **Token 可以避免 CSRF 攻击(http://dwz.cn/7joLzx)。**
 *  **Token 可以是无状态的，可以在多个服务间共享。**

Token 是在服务端产生的，如果前端使用用户名/密码向服务端请求认证，服务端认证成功，那么在服务端会返回 Token 给前端。前端可以在每次请求的时候带上 Token 证明自己的合法地位。如果这个 Token 在服务端持久化（比如存入数据库），那它就是一个永久的身份令牌。现在的很多的网站都会有记录密码的功能，正是借助了token进行了安全验证，并读取存放在客户端的cookies中的token的值与上次存入到数据库中的值是否一致，如果一致则可安全登录，否则则会用户输入密码，无论token一致或不一致，在成更登录后都会重新改变token的值，并同时存到客户端的cookies中。

无状态 Token

如果我们把所有状态信息都附加在 Token 上，服务器就可以不保存。但是服务端仍然需要认证 Token 有效。

不过只要服务端能确认是自己签发的 Token，而且其信息未被改动过，那就可以认为 Token 有效——“签名”可以作此保证。

平时常说的签名都存在一方签发，另一方验证的情况，所以要使用非对称加密算法。

但是在这里，签发和验证都是同一方，所以对称加密算法就能达到要求，而对称算法比非对称算法要快得多（可达数十倍差距）。

更进一步思考，对称加密算法除了加密，还带有还原加密内容的功能，而这一功能在对 Token 签名时并无必要——既然不需要解密，摘要（散列）算法就会更快。你可以指定密码的散列算法，自然是 HMAC。

上面说了这么多，还需要自己去实现吗？不用！JWT 已经定义了详细的规范，而且有各种语言的若干实现。

不过在使用无状态 Token 的时候在服务端会有一些变化，服务端虽然不保存有效的 Token 了，却需要保存未到期却已注销的 Token。

如果一个 Token 未到期就被用户主动注销，那么服务器需要保存这个被注销的 Token，以便下次收到使用这个仍在有效期内的 Token 时判其无效。有没有感到一点沮丧？

在前端可控的情况下（比如前端和服务端在同一个项目组内），可以协商：前端一旦注销成功，就丢掉本地保存（比如保存在内存、Local Storage 等）的 Token 和 Refresh Token。

基于这样的约定，服务器就可以假设收到的 Token 一定是没注销的（因为注销之后前端就不会再使用了）。

如果前端不可控的情况，仍然可以进行上面的假设，但是这种情况下，需要尽量缩短 Token 的有效期，而且必须在用户主动注销的情况下让 Refresh Token 无效。

这个操作存在一定的安全漏洞，因为用户会认为已经注销了，实际上在较短的一段时间内并没有注销。如果应用设计中，这点漏洞并不会造成什么损失，那采用这种策略就是可行的。

在使用无状态 Token 的时候，有两点需要注意：

*  **Refresh Token 有效时间较长，所以它应该在服务器端有状态，以增强安全性，确保用户注销时可控。**
 *  **应该考虑使用二次认证来增强敏感操作的安全性。**

到此，关于 Token 的话题似乎差不多了——然而并没有，上面说的只是认证服务和业务服务集成在一起的情况，如果是分离的情况呢？

转载于:https://www.cnblogs.com/zhaona123/p/8549780.html

发表评论取消回复

表情：

评论列表（有 0 条评论，126人围观）

还没有评论，来说两句吧...

相关阅读

相关 component: () => import() SyntaxError: Unexpected token相关问题的处理

天在使用vue-router按需加载的时候出现了，**SyntaxError: Unexpected token**错误，排查了好久，如下 ![watermark_ty...

港控/mmm°/ 2024年04月18日 15:54/ 0 赞/ 86 阅读

相关获取token（/oauth/token）

1、入口方法（spring-security-oauth2-2.0.14.RELEASE-sources.jar） @FrameworkEndpoint pu

川长思鸟来/ 2024年02月19日 12:10/ 0 赞/ 85 阅读

相关 flask项目相关--refresh token

刷新token实现流程 ![1552472-20190826193420457-1698042413.png][] 特点访问令牌虽然使用频繁, 但

﹏ヽ暗。殇╰゛Y/ 2023年06月03日 02:45/ 0 赞/ 12 阅读

相关【备忘录】transformers tokenizer.tokenize和tokenizer.encode

from transformers import BertTokenizer, BertModel tokenizer = BertTokenizer.from

叁歲伎倆/ 2022年11月19日 11:22/ 0 赞/ 263 阅读

相关 token相关

Token 是在服务端产生的，如果前端使用用户名/密码向服务端请求认证，服务端认证成功，那么在服务端会返回 Token 给前端。前端可以在每次请求的时候带上 Token 证明自

超、凢脫俗/ 2022年10月03日 00:44/ 0 赞/ 127 阅读

相关 auth认证相关 --token 深入了解

Token 的简述 token 顾名思义就是一块令牌(临时的令牌)，我们可将它理解为一种暗号，类似于对口号。这个令牌 token 是由服务器生产，一串字符串，然后会一式两

约定不等于承诺〃/ 2022年04月16日 00:23/ 0 赞/ 311 阅读

相关基于python实现GET和POST请求及token相关调用

GET请求实例：　 coding:utf-8 import requests parm={ "userId":"YIN","pass

今天药忘吃喽~/ 2022年01月08日 02:07/ 0 赞/ 815 阅读

相关 Token

Token 是在服务端产生的，如果前端使用用户名/密码向服务端请求认证，服务端认证成功，那么在服务端会返回 Token 给前端。前端可以在每次请求的时候带上 Token 证明自

不念不忘少年蓝@/ 2021年12月12日 06:09/ 0 赞/ 261 阅读

相关 token

一、登陆的验证流程　　当用户请求登录的时候，如果没有问题，我们在服务端生成一条记录，这个记录里可以说明一下登录的用户是谁，然后把这条记录的 ID 号发送给客户端，客户端收到

梦里梦外;/ 2021年12月12日 00:23/ 0 赞/ 267 阅读

相关 Cookie,Session,Token相关区别

转载自： 1. 为什么要有session的出现？答：是由于网络中http协议造成的，因为http本身是无状态协议，这样，无法确定你的本次请求和上次请求是不是你发送的。如

谁践踏了优雅/ 2021年09月18日 03:40/ 0 赞/ 365 阅读