如果用户A修改了密码,B/C/D用的是同一个账号并有cookie。那么该如何去清理掉这些cookie?
因为项目需求允许多人同时使用一个账号,因此单点登录不可行。
然后修改密码之后登录的不用清除,修改密码之前登录的cookie要清除。
但是每打开一个页面都要连接数据库校验一次岂不是很耗资源?
求各位大大给出建议,小弟跪谢~
回答:
在登陆后,用memcached写入一个与id对应的md5后的随机数。(session/cookie 保存)
每次刷新都从mem获取这个md5随机数。
修改密码后同步修改mem中的md5随机数,直到下次登录为止。
这都是建立在你有memcached的基础上,当然了KV也行,反正选择写入/读取速度快的就好了
回答:
cookie 的 secret 为每用户特定的可以不?用户换密码之后就把其对应的 secret 换一下,于是那些 cookie 就失效了。
回答:
cookie加密存储,cookie内包含用户id和令牌(token),token生成规则中加入密码(md5后的),每次访问页面,从数据库(或kv)中读取token进行比对。不需要考虑删除cookie的问题。
回答:
cookie和用户表里记录上一次修改密码的时间,然后比对
回答:
背景信息太少了。
像我的系统,登录信息保存在session中,session又保存在数据库中。愿意的话,我可以在别人修改密码后,把这个账号有关的session全都清空。就是这么做很丑陋
还有个丑陋点的方法,前端定期发回一个校验信息,然后跟数据库对比,嫌数据库慢?用缓存,反正这种信息不是经常变化的。
抛砖引玉,楼主权且当个参考好了。
回答:
我想直接查一次数据库是可以接受的。按uid查询,肯定是有索引的,不会消耗多少资源。
回答:
像@Bluven说的,用户信息最后放在session中,可以设置一个特殊cookieid作为session的key,各个端一个session,当修改密码后就将其它用户踢下去。检查session的有效性可以放在中间件里判断
回答:
写一个中间件,作为过滤拦截器,获取cookis中的用户KV。中间件负责判断cookis中的用户KV是否有效,无效则拒绝。
第一次登录网页:中间件判断当前登录是否有效。中间件没有当前用户的KV。从数据库获取密码和用户ID,哈希处理后存入内存型数据库(memcached、Redis等),并设定过期时间,一段时间不访问后失效。
第n次登录网页:
1.中间件判断当前登录是否有效。中间件访问Redis查看是否有效,Redis失效,中间件自行询问数据库,并将询问结果哈希处理后存入Redis(设置过期时间)。
2、中间件根据Redis中的KV对(key,value组合)判断当前登录是否有效。无效则拒绝访问
修改密码:修改密码需要同步修改Redis和数据库的内容。可以请求中间件修改缓存,由中间件执行修改操作(这样上层不需要关心数据源),而不是由上层业务代码处理。