为什么需要token的个人理解

说明：个人理解，未必正确，请勿参考

 

cookie和session模式存在的问题：

1，session的生命周期比较短，用户隔一段时间就需要重新登陆一次。默认情况下，浏览器关闭之后，cookie中保存的sessionid就会被清除，导致下一次打开浏览器访问后台的时候，又开启新的会话。另外，不关闭浏览器，但是较长时间（比如超过20分钟）不访问后台的话，session也会被销毁。

2，由于移动端的存在，比如android，默认情况下，是不会和浏览器一样在cookie中记录sessionid，也不会和浏览器一样，每次访问的时候都带上sessionid，因此，android每次访问的时候都会在后台生成一个新的session，这种情况，后台因为session中无法查到用户信息，会认为用户没有登陆。

 

使用token的情况：

前端（浏览器或者移动端）登陆的时候，后台生成一个token（token中可以包含userId或者userName,但是千万不要把密码放入里面），然后将token发送给前端，后台不保存token。

前端每次访问后台的时候都在请求头中带上token，后台通过算法验证是否是自己签发的token，是的话，可以认为用户已登陆。后台拿到token之后可以解析出里面的userId，然后进行权限认证，判断是否有权限进行当前的操作。

 

token的好处：

1，后台不用保存token，只需要算法验证是否是自己签发的token就可以了。

2，可以支持多种前端，移动端和浏览器都支持。

 

token可能的坏处：

1，每次都需要去数据库中查询权限信息，有session的情况下，可以直接将查询出来的权限数据放到session中，之后每次再需要权限的时候，直接从session中取就可以了。不过可以使用内存缓存或者内存数据库解决