实习工作第七天新知识总结_Token身份认证

1.Token身份认证

（1）token在计算机术语中属于身份，令牌的意思。
常用电商网站以及安全性比较高的网站中来判断用是否有执行某一项操作的权利。也就是代表执行某一项操作的具有权利的对象。而访问令牌就是访问控制操作主体的操作的对象。

（2）邀请码，在邀请系统中使用
Token, Petri 网（Petri net）理论中的Token
密保令牌（Security token），或者硬件令牌，例如U盾，或者叫做认证令牌或者加密令牌，一种计算机身份校验的物理设备

（3）会话令牌（Session token）,交互会话中唯一身份标识符这个就是网站系统看客户端使用最多的一种令牌就是session token 会话令牌。
令牌化技术 (Tokenization), 取代敏感信息条目的处理过程

（4）数据处理
token其实说的更通俗点可以叫暗号，在一些 数据传输之前，要先进行暗号的核对 ，不同的暗号被授权不同的数据操作。例如在USB1.1协议中定义了4类数据包：token包、data包、handshake包和special包。
主机和USB设备之间连续数据的交换可以分为三个阶段：
第一个阶段由主机发送token包，不同的token包内容不一样（暗号不一样）可以告诉设备做不同的工作，第二个阶段发送data包，第三个阶段由设备返回一个handshake包。

（5）彻底了解token
token相关阅读
在Web领域基于Token的身份验证随处可见。在大多数使用Web API的互联网公司中，tokens 是多用户下处理认证的最佳方式。

以下几点特性会让你在程序中使用基于Token的身份验证

1.无状态、可扩展

2.支持移动设备

3.跨程序调用

4.安全

那些使用基于Token的身份验证的大佬们

大部分你见到过的API和Web应用都使用tokens。例如Facebook, Twitter, Google+, GitHub等。

Token的起源

在介绍基于Token的身份验证的原理与优势之前，不妨先看看之前的认证都是怎么做的。

基于服务器的验证

我们都是知道HTTP协议是无状态的，这种无状态意味着程序需要验证每一次请求，从而辨别客户端的身份。

在这之前，程序都是通过在服务端存储的登录信息来辨别请求的。这种方式一般都是通过存储Session来完成。

下图展示了基于服务器验证的原理

随着Web，应用程序，已经移动端的兴起，这种验证的方式逐渐暴露出了问题。尤其是在可扩展性方面。

基于服务器验证方式暴露的一些问题

1.Seesion：每次认证用户发起请求时，服务器需要去创建一个记录来存储信息。当越来越多的用户发请求时，内存的开销也会不断增加。

2.可扩展性：在服务端的内存中使用Seesion存储登录信息，伴随而来的是可扩展性问题。

3.CORS(跨域资源共享)：当我们需要让数据跨多台移动设备上使用时，跨域资源的共享会是一个让人头疼的问题。在使用Ajax抓取另一个域的资源，就可以会出现禁止请求的情况。

4.CSRF(跨站请求伪造)：用户在访问银行网站时，他们很容易受到跨站请求伪造的攻击，并且能够被利用其访问其他的网站。

在这些问题中，可扩展行是最突出的。因此我们有必要去寻求一种更有行之有效的方法。

基于Token的验证原理

基于Token的身份验证是无状态的，我们不将用户信息存在服务器或Session中。

这种概念解决了在服务端存储信息时的许多问题

NoSession意味着你的程序可以根据需要去增减机器，而不用去担心用户是否登录。

基于Token的身份验证的过程如下:

1.用户通过用户名和密码发送请求。

2.程序验证。

3.程序返回一个签名的token 给客户端。

4.客户端储存token,并且每次用于每次发送请求。

5.服务端验证token并返回数据。

每一次请求都需要token。token应该在HTTP的头部发送从而保证了Http请求无状态。我们同样通过设置服务器属性Access-Control-Allow-Origin:* ，让服务器能接受到来自所有域的请求。需要主要的是，在ACAO头部标明(designating)*时，不得带有像HTTP认证，客户端SSL证书和cookies的证书。

（6）为什么get（0），代码阅读疑问

@Override
    public CompletableFuture<EcommGoodsDetailsResponse> getGoodsDetails(ShareInfo shareInfo, String goodsId) throws Exception {
        PddDdkGoodsDetailRequest request = new PddDdkGoodsDetailRequest();
        List<Long> goodsIdList = new ArrayList<>();
        goodsIdList.add(Long.parseLong(goodsId.trim()));
        request.setGoodsIdList(goodsIdList);
        request.setPid(pddClientFactory.getPddConfig().getDdkPid());

        //如果查询不到skuid对应的商品 java.util.concurrent.ExecutionException: RemoteException(body=商品非多多进宝商品)
        return pddClientFactory.getPddClient().asyncInvoke(request).thenApply(response -> {
            List<EcommGoodsDetailsResponse> goods = response.getGoodsDetailResponse().getGoodsDetails().stream().map(this::goodsDetailToGoods).collect(Collectors.toList());

            if (goods.isEmpty()) {
                return null;
            }

            return goods.get(0);
        });
    }