无感刷新taken

最新推荐文章于 2024-10-26 12:50:45 发布

你我哈

最新推荐文章于 2024-10-26 12:50:45 发布

阅读量869

点赞数 33

分类专栏： Springboot 文章标签： spring boot java

本文链接：https://blog.csdn.net/weixin_68226434/article/details/142616659

版权

Springboot 专栏收录该内容

1 篇文章 0 订阅

订阅专栏

概要

在Spring Boot应用中实现无感刷新Token，通常采用基于Refresh Token的双Token机制。这种方法涉及到两个Token：Access Token和Refresh Token。Access Token用于用户的身份验证，具有较短的有效期；而Refresh Token则用于在Access Token过期后获取新的Access Token，具有较长的有效期。

整体架构流程

为了实现用户在Token过期时能够无感知地刷新Token，避免用户重新登录，可以采用以下策略：

双Token机制：
- Access Token：有效期较短，用于日常的请求验证。
- Refresh Token：有效期较长，用于在Access Token过期后请求新的Access Token。
客户端刷新逻辑：
- 客户端存储Access Token和Refresh Token。
- 每次发起请求时，客户端携带Access Token。
- 如果服务器响应表示Token过期（例如状态码为401），客户端则使用Refresh Token请求新的Access Token和新的Refresh Token。
服务器端刷新接口：
- 提供一个刷新Token的接口，用于接收Refresh Token并验证其有效性。
- 一旦验证通过，服务器生成新的Access Token和Refresh Token，并返回给客户端。
自动刷新Token：
- 在客户端实现一个拦截器，自动处理Token过期的情况。
- 当捕获到Token过期的响应时，拦截器会自动使用Refresh Token请求新的Token，并重试原请求。
刷新Token的安全性：
- 确保Refresh Token具有足够的安全性，例如通过HTTPS传输，设置适当的过期时间，以及在用户登出时使Refresh Token立即失效。
前端处理：
- 使用前端框架（如Angular、React或Vue.js）的拦截器功能，监听HTTP请求和响应。
- 在拦截器中检查响应状态码，如果是401，则暂停原请求，使用Refresh Token获取新的Access Token。
- 使用新的Access Token更新原请求的头部，并重新发送原请求。
后端处理：
- 在Spring Security的过滤器中检查每个请求的Token。
- 如果Access Token过期，返回一个特定的状态码（如401）和消息，指示客户端使用Refresh Token刷新Token。
- 在后端设置一个Refresh Token的验证和刷新逻辑，生成新的Token并返回。
优化用户体验：
- 确保刷新Token的过程对用户是透明的，不需要用户手动重新登录。
- 在刷新Token时，可以考虑在用户界面上显示一个加载指示器，告知用户正在处理中。

技术名词解释

Access Token

定义：AccessToken是一种加密的字符串，用于在计算机系统中确认用户的身份和权限。
作用：
1. 身份验证：用户通过用户名和密码或其他认证方式成功登录后，服务器会生成一个AccessToken并返回给客户端。这个令牌包含了用户的身份信息和授权信息，用于证明用户已经通过了身份验证。
2. 授权访问：AccessToken通常与特定的资源或操作相关联。服务器会根据AccessToken中的授权信息来判断用户是否有权访问某个资源或执行某个操作。只有拥有正确且有效的AccessToken的用户才能被授权访问相应的资源或执行相应的操作。

Refresh Token

定义：Refresh Token是一个由授权服务器颁发的加密令牌，用于在Access Token过期时，向授权服务器请求一个新的Access Token，而无需用户再次进行身份验证（如重新输入用户名和密码）。
作用：
1. 延长用户会话：通过自动刷新Access Token，Refresh Token能够延长用户的会话时间，提高用户体验。
2. 减少身份验证频率：对于需要频繁访问受保护资源的应用，使用Refresh Token可以减少用户重新进行身份验证的次数。
3. 增强安全性：由于Refresh Token通常具有较长的有效期，并且通常不直接用于访问资源（而是用于获取Access Token），因此它们可以在一定程度上减少因令牌泄露而导致的安全风险。

技术细节

让我们通过一个例子来说明Access Token的整个生命周期和使用场景：

用户登录

用户在客户端（比如一个手机应用或者网页）输入用户名和密码。
客户端将这些登录凭证发送到服务器端的登录接口。
服务器验证用户的凭证，如果验证成功：
- 服务器生成一个Access Token（例如，使用JWT）。
- 服务器将Access Token返回给客户端。

使用Access Token

客户端收到Access Token后，将其存储在安全的地方（例如，Web应用中的LocalStorage，或者移动应用的Keychain）。
客户端在随后对服务器的每个请求中，都会在HTTP请求的头部（Header）中包含这个Access Token，通常是在Authorization字段中，格式可能是Authorization: Bearer <token>。

Refresh Token的使用流程：