WEB安全(十二)token的续签问题-即动态刷新token,避免用户经常重新登录

token有效期一般都设置得很短,那么token过期后如何动态刷新token,避免用户经常重新登录呢?

来看个具体需求:

超过2个小时后,用户没有请求,则需要重新登录。

这个需求一般有两种实现方式。

方式一 每次请求都返回新 token

假设一个 token 的签发时间为 12:00,需求为 2h 未进行请求即过期。则设置有效期 2h,那么每次请求都会把一个 token 换成一个新 token。如果 2h 没有进行请求,那么上一次请求的到的 token 就会过期,需要重新登录。不断签就能一直使用下去。

这种方式实现思路很简单,但开销比较大。

问题一:每次都刷新 token,带来的性能影响如何?

以前每次请求,需要进行一次 token 签名校验,而现在是要签发一个新 token,进行的都是一次签名运算,那么运算量即从 n 变成 2n。

其次,每次刷新都要把旧 token 加入黑名单,会导致黑名单特别大。

问题二:每次都刷新 token,并发请求时会不会因为 token 刷新而导致只有一个请求成功?

答案是确实会导致这个问题,怎么解决呢?设置一个宽限时间,每次 token 刷新后,原来逻辑应该是立刻不可用,现在设置一个宽限时间,让其在 n 秒之内仍然可用即可。

方式二 用户登录返回两个 token

第一个是 accessToken ,它的过期时间 token 本身的过期时间2个小时,另外一个是 refreshToken 它的过期时间更长一点比如为1天。客户端登录后,将 accessToken和refreshToken 保存在本地,每次访问将 accessToken 传给服务端。服务端校验 accessToken 的有效性,如果过期的话,就将 refreshToken 传给服务端。如果有效,服务端就生成新的 accessToken 给客户端。否则,客户端就重新登录即可。

该方案的不足是:

1、需要客户端来配合;

2、用户注销的时候需要同时保证两个 token 都无效;

3、重新请求获取 token 的过程中会有短暂 token 不可用的情况(可以通过在客户端设置定时器,当accessToken 快过期的时候,提前去通过 refreshToken 获取新的accessToken)

  • 6
    点赞
  • 33
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
使用 sa-token-quick-login 实现数据库用户登录的具体步骤如下: 1. 引入 sa-token 依赖 在 Maven 项目中,你需要在 pom.xml 文件中引入 sa-token 的依赖: ```xml <dependency> <groupId>cn.dev33.satoken</groupId> <artifactId>sa-token-starter-core</artifactId> <version>${sa-token.version}</version> </dependency> ``` 其中,${sa-token.version} 是 sa-token 的版本号。 2. 配置 sa-token 在 Spring Boot 项目中,你需要在 application.yml 或 application.properties 文件中配置 sa-token 的相关信息,例如: ```yaml # 配置 sa-token sa-token: # 开启 sa-token enable: true # 配置密码加密秘钥 pwdEncryptSalt: your_salt_here # 配置登录token 名称 tokenName: your_token_name_here ``` 3. 实现登录接口 在 Spring Boot 中,你可以使用 @PostMapping 注解实现登录接口,例如: ```java @RestController public class LoginController { @PostMapping("/login") public String login(String username, String password) { // 根据用户名和密码查询数据库,如果存在则返回用户信息,否则返回 null User user = userRepository.findByUsernameAndPassword(username, password); if (user == null) { // 用户名或密码错误,返回错误信息 return "用户名或密码错误"; } else { // 用户名和密码正确,生成 token 并返回 return SaTokenManager.createToken(user.getId()); } } } ``` 在这个例子中,我们使用 @PostMapping 注解定义了一个 /login 接口,接收用户名和密码作为参数。我们在接口中查询数据库,如果用户名和密码匹配,则生成 token 并返回;否则返回错误信息。 4. 配置 sa-token-quick-login 在 Spring Boot 中,你可以使用 @Configuration 注解实现 sa-token-quick-login 的配置,例如: ```java @Configuration public class SaTokenConfig { @Autowired private SaTokenProperties saTokenProperties; @Bean public SaTokenQuickLogin saTokenQuickLogin() { return new SaTokenQuickLogin() { @Override public Object doLogin(String loginKey) { // 在这里实现登录逻辑 String[] arr = loginKey.split(":"); String username = arr[0]; String password = arr[1]; // 根据用户名和密码查询数据库,如果存在则返回用户信息,否则返回 null User user = userRepository.findByUsernameAndPassword(username, password); if (user == null) { // 用户名或密码错误,返回 null return null; } else { // 用户名和密码正确,返回用户对象 return user; } } @Override public String getLoginKey(Object user) { // 在这里实现获取登录 key 的逻辑,例如:使用用户名和密码拼接 User u = (User) user; return u.getUsername() + ":" + u.getPassword(); } }; } } ``` 在这个例子中,我们使用 @Configuration 注解定义了一个 SaTokenConfig 类,实现了 SaTokenQuickLogin 接口。我们在 doLogin 方法中实现了数据库登录逻辑,如果登录成功,则返回用户对象;否则返回 null。在 getLoginKey 方法中,我们使用用户名和密码拼接作为登录 key。 5. 在前端页面中调用登录接口 在前端页面中,你可以使用 JavaScript 调用登录接口,例如: ```javascript fetch('/login', { method: 'POST', body: JSON.stringify({ username: 'myusername', password: 'mypassword' }), headers: { 'Content-Type': 'application/json' } }) .then(response => response.text()) .then(token => { // 登录成功,保存 token 到 localStorage 中 localStorage.setItem('token', token); }); ``` 在这个例子中,我们使用 fetch 函数发送 POST 请求到 /login 接口,传递用户名和密码。如果登录成功,后端将返回一个 token 字符串,我们在前端页面中使用 JavaScript 处理这个 token 字符串,保存到 localStorage 中,以便后续使用。
评论 1
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值