关于移动端token解决方案

在开发web端项目过程中，经常会接触到cookie、sessionId这些东西，移动端开发过程中，更多会使用token这个概念，其实属于同一个概念，都是如何验证用户的合法性所涉及的概念。

最原始的解决方法可能是生成一个随机数作为token在服务端进行保存，redis是一个好的内存数据保存办法。

JSON Web Token（JWT）是一个非常轻巧的规范。这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的信息。其JWT的组成：

一个JWT实际上就是一个字符串，它由三部分组成，头部、载荷与签名。

JWT通过签名来验证token的合法性，而在很多支付系统中都会用签名来验证数据的合法性，签名的方式主要通过非对称加密的方式来完成。

用户的合法性验证在实际业务场景中（登录登出验证）可能只是一部分，如何保证token的有效性也是业务场景中必须考虑的。

现实场景：

• 用户白名单：用户登录过程中使用特定密码登录
• 用户登出：用户退出切换账号
• 用户修改密码：密码修改后用户需要登出重新登录
• 用户单一设备登录：APP账号同时只能一个设备登录，其他设备必须退出

 JWT 的使用场景，通常是在服务切换的时候，用作身份令牌的，比如从 A 服务跳转到 B 服务、单点登录（SSO）中比较广泛的使用了该技术。

 

 

 

 

参考：

JWT实现token验证

基于JWT的Token认证机制实现及安全问题

JWT(auth0)：RS256 非对称加密算法实现 Token 的签发、验证

---