使用token方法保存用户登录状态的实践

问题：网站中，如何保存用户的登录状态？

错误示范

用户登录后，使用 localStorage 方法在浏览器客户端直接保存 user_id，每次进入网站时，通过识别 user_id 自动获取用户的信息并实现登录。

错误点

浏览器 localStorage 保存的数据可能被——篡改
在浏览器控制台使用 localStorage.setItem() 即可更改当前 user_id，如果 user_id 被别人改了，那岂不是可以随意窃取任何人的信息？
使用cookie保存用户 id 也有一样的风险，
所以使用这种方法做保存登录状态和自动登录是不安全的

问题解决：Token

• 用户登录，后端加密生成 token，保存在用户表中，并返回给前端
• 前端获取 token，保存在 localStorage 中

自动登录

• 进入网站，前端检测到 token ，首先进行 token 验证
• 后端验证 token ，找到相关用户，然后返回数据，实现登录

发送请求，解析出 user_id

• 请求中携带 token
• 在需要验证 token 的 controller 中定义 public function verifytoken() 方法
• 在需要验证 token 的接口中调用这个函数，然后解析出 user_id

解决策略：

使用 localStorage + token 方法进行身份验证

• 登录：前端保存 token 和 个人信息（姓名、头像等，不包括user_id）
• 每次进入网站先验证 token 是否过期，如果没过期，则保持当前状态，如果过期，则清空本地 token 和 本地个人信息，并跳转到登录页