重庆网站建设重庆零臻科技价,设计平台化,分销渠道系统,昆明网站词排名优化通常我们会对token设置一个有效期#xff0c;于是#xff0c;就有了token续签的问题。由于token并没有续时机制#xff0c;如果不能及时的替换掉过期的token#xff0c;可能会拦截用户正常的请求#xff0c;用户只能重新登录#xff0c;如果提交的信息量很大#xff0c;…通常我们会对token设置一个有效期于是就有了token续签的问题。由于token并没有续时机制如果不能及时的替换掉过期的token可能会拦截用户正常的请求用户只能重新登录如果提交的信息量很大会给用户带来很不愉快的用户体验
续签方法 在token快过期时返回一个新的token 用户每次进入系统时刷新token比如小程序登录 采用refreshToken机制 token里存储了用户的权限当用户状态发生改变时
在token快过期时返回新的token
在服务器端可以校验即将过期的token比如将token存在于redis中可以用token的TTL去获取token的过期时间如果时间比较短就可以顺便返回一个新的token这种方式对于前后端都不友好客户端和服务端都需要去判断逻辑会带来很大的性能损耗。
用户每次进入系统时刷新token
这种场景比较适用于小程序可以在用户每次进入小程序时就去返回一个新的token只要token的有效时间合适是一个不错的选择方案
refreshToken机制
refreshToken是token的另一种延申
用户登录成功后返回两个 token 一个是 acessToken 它的过期时间可以比较短比如是1天另外一个是 refreshToken 它的过期时间更长一点比如3天。 当客户端登录后将 accessToken和refreshToken 保存在客户端本地每次访问将 accessToken 传给服务端。服务端校验 accessToken 的有效性如果客户端收到token过期的话就将 refreshToken 传给服务端。 服务端 验证refreshToken 是否有效若有效服务端就生成新的 accessToken和refreshToken 给客户端。否则客户端就需要重新登录 这种方式可以减少用户进行账号密码登录的次数但也会带来一些盗用和过期的风险我们可以从以下几个方面去优化 性能优化 我们可以将其直接保存在数据库中只会在客户端得到token过期时才会向服务器端发起请求 安全优化 只有在需要续签的时候才会带上每个refreshToken只会被使用一次当refreshToken被获取时不会被大量滥用 可以设置refreshToken的生成机制与客户端client_id绑定设置独立的secret在验证有效性时会对比登录时的客户端client_id,相对安全 可用性优化 客户端可以设置定时器在accessToken 快过期的时候提前去通过 refreshToken 获取新的accessToken防止出现短暂的token不可用 refreshToken是一种很好的方案进行JWT续签与 OAuth2.0中的刷新机制类似
