token

　　在英语中，token可翻译为记号，令牌，凭证。在计算机中token是指拥有某项操作权力的对象；

　　客户端使用用户名和密码请求登录。服务端收到请求，验证用户名和密码。验证成功后，服务端会生成一个token，然后把这个token发送给客户端。客户端收到token后把它存储起来，可以放在cookie或者Local Storage（本地存储）里。客户端每次向服务端发送请求的时候都需要带上服务端发给的token。服务端收到请求，然后去验证客户端请求里面带着token，如果验证成功，就向客户端返回请求的数据。

1.Token的几个特点； 　　

　　Token 完全由应用管理，所以它可以避开同源策略。

　　Token 可以避免 CSRF （CSRF（Cross Site Request Forgery），中文是跨站点请求伪造。CSRF攻击者在用户已经登录目标网站之后，诱使用户访问一个攻击页面，利用目标网站对用户的信任，以用户身份在攻击页面对目标网站发起伪造用户操作的请求，达到攻击目的。CSRF攻击是源于Web的隐式身份验证机制！Web的身份验证机制虽然可以保证一个请求是来自于某个用户的浏览器，但却无法保证该请求是用户批准发送的。）攻击。

　　Token 可以是无状态的，可以在多个服务间共享。

　　Token 是在服务端产生的，如果前端使用用户名/密码向服务端请求认证，服务端认证成功，那么在服务端会返回 Token 给前端。

　　前端可以在每次请求（不一定是登录请求）的时候带上 Token 证明自己的合法地位。如果这个 Token 在服务端持久化（比如存入数据库），那它就是一个永久的身份令牌。

 

2.Token的有效期：

　　从用户安全角度出发，Token需要设置有效期，不同的网站类型token失效时间也不同，然而用户的操作是不可控的，如果在用户每一次操作后都延迟token的失效时间显然是很麻烦的；

　　所以要使用 Refresh Token，它可以避免频繁的读写操作。这种方案中，服务端不需要刷新 Token 的过期时间，一旦 Token 过期，就反馈给前端，前端使用 Refresh Token 申请一个全新 Token 继续使用。服务端只需要在客户端请求更新 Token 的时候对 Refresh Token 的有效性进行一次检查，大大减少了更新有效期的操作，也就避免了频繁读写。

 

　　当token失效时；认证refresh token，当然 Refresh Token 也是有有效期的，但是这个有效期就可以长一点了，比如，以天为单位的时间，认证通过，用户继续使用，认证失败时，用户需要重新登录；

3.token的存储

　　token可以存到数据库中，但是有可能查询token的时间会过长导致token丢失。为了避免查询时间过长，可以将token放到内存中。这样查询速度绝对就不是问题了，也不用太担心占据内存，就算token是一个32位的字符串，应用的用户量在百万级或者千万级，也是占不了多少内存的。

 

　　

转载于:https://www.cnblogs.com/flower-y/p/10872107.html