token是写死的吗_深入理解token

链接：https://my.oschina.net/jamesfancy/blog/1613994

摘要: Token 是在服务端产生的。如果前端使用用户名/密码向服务端请求认证，服务端认证成功，那么在服务端会返回 Token 给前端。前端可以在每次请求的时候带上 Token 证明自己的合法地位

不久前，我在在前后端分离实践中提到了基于 Token 的认证，现在我们稍稍深入一些。

通常情况下，我们在讨论某个技术的时候，都是从问题开始。那么第一个问题：

为什么要用 Token？

而要回答这个问题很简单——因为它能解决问题！

可以解决哪些问题呢？

Token 完全由应用管理，所以它可以避开同源策略

Token 可以避免 CSRF 攻击(http://dwz.cn/7joLzx)

Token 可以是无状态的，可以在多个服务间共享

Token 是在服务端产生的。如果前端使用用户名/密码向服务端请求认证，服务端认证成功，那么在服务端会返回 Token 给前端。前端可以在每次请求的时候带上 Token 证明自己的合法地位。如果这个 Token 在服务端持久化(比如存入数据库)，那它就是一个永久的身份令牌。

于是，又一个问题产生了：需要为 Token 设置有效期吗？

需要设置有效期吗？

对于这个问题，我们不妨先看两个例子。一个例子是登录密码，一般要求定期改变密码，以防止泄漏，所以密码是有有效期的；另一个例子是安全证书。SSL 安全证书都有有效期，目的是为了解决吊销的问题，对于这个问题的详细情况，来