在多步骤流程中使用token（如找回密码）时，存在token时效性管理和存储问题。目前做法是将token存储在MySQL并定期清理过期token。讨论中提出了将token格式化为md5(username+userid+timestamp)_timestamp避免重复，并在验证后更新或设null，使用AES加密解密避免存储，利用内存、Redis或Memcache存储并设置过期时间，以及直接使用session等方式。建议权衡存储效率和安全性，选择适合的解决方案。
在保持多步骤流程一致性时我需要用到token(比如找回密码)：
步骤1，用户提交要找回密码的用户名和验证码，我生成token1，返回页面中包含这个token1
步骤2，用户提交他收到的短信验证码和token1，我根据token1来识别是哪个用户，短信验证码是否正确，token是否过期，这个token的使用场景是否正确，如果都有效，我生成一个token2，返回页面包含这个token2
步骤3，用户提交他的新密码和token2，我根据token2来找出是哪个用户，最后重置那个用户的密码
这里的token都有时效性，我存在mysql里，每天都要跑cron job来删除过期的token，这样不太好吧，我应该怎么存token？或者有更好的办法？
回复内容：
在保持多步骤流程一致性时我需要用到token(比如找回密码)：
步骤1，用户提交要找回密码的用户名和验证码，我生成token1，返回页面中包含这个token1
步骤2，用户提交他收到的短信验证码和token1，我根据token1来识别是哪个用户，短信验证码是否正确，token是否过期，这个token的使用场景是否正确，如果都有效，我生成一个token2，返回页面包含这个token2
步骤3，用户提交他的新密码和token2，我根据token2来找出是哪个用户，最后重置那个用户的密码
这里的token都有时效性，我存在mysql里，每天都要跑c
最低0.47元/天 解锁文章
630
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
