询问服务器 token 的实现方案

[xx314327475]

目前笔者做了一款iOS的App,需要访问服务器资源,当App登录以后,服务器端验证通过后,会返回一个访问token,用于校验后序的api访问操作,App以后所有的请求都会带上这个token参数,现在想问下,这个token如何实现?

有朋友建议我使用session的session id来实现这个token,但是session销毁后,用户就必须重新登录了,你们有什么好的办法么?

[xx314327475]

@nisnaker 😄

[nisnaker]

@xx314327475 其实你问的问题就是这个token怎么办，如果做成加解密的话服务端就什么都不用存。
至于这个过期时间，就是当前的时间戳减去token里存的时间戳，要不要判定为过期完全在服务器端控制，方便优化。
而且这个多久过期也不用在这里讨论，看你的具体业务，你可以设成1年有效，大不了app跟支付宝一样做下手势验证；或者5分钟过期，过期之后自动再次登录重新获取token以免用户体验太差。

[shaobenbin]

可以设计成token不用传，用token来签名。然后只有签名正确的才是真正的用户,安全简单且可以实现无状态化。参考腾讯的https://www.google.com/url?sa=t&rct=j&q=&esrc=s&source=web&cd=1&ved=0CB4QFjAA&url=http%3A%2F%2Fwiki.open.qq.com%2Fwiki%2F%25E8%2585%25BE%25E8%25AE%25AF%25E5%25BC%2580%25E6%2594%25BE%25E5%25B9%25B3%25E5%258F%25B0%25E7%25AC%25AC%25E4%25B8%2589%25E6%2596%25B9%25E5%25BA%2594%25E7%2594%25A8%25E7%25AD%25BE%25E5%2590%258D%25E5%258F%2582%25E6%2595%25B0sig%25E7%259A%2584%25E8%25AF%25B4%25E6%2598%258E&ei=PBuVVduqKZbgoATro6qQDg&usg=AFQjCNFJFz6kpYGhc3fDCNyF0SZTINIGVg&sig2=mopSHEEcRr7PhMSM8pDcmA&bvm=bv.96952980,d.cGU

[zyx89513]

存在数据库, 用 memcache 缓存. 直接存到 redis 也可以

[zhuangzhuang1988]

用这个库即可 http://pythonhosted.org/itsdangerous/ 也就是@BuilderQiu 的解决方案, 具体在http://book.douban.com/subject/26274202/ 中第14章有. 另外还可以用于邮件验证

[jedrek]

@BuilderQiu @nisnaker @hahasong @xx314327475
若认证信息不存储的话，会有些问题。
一个用户有两个设备，在其中一个设备上改掉密码，另一个设备的token如何失效？
换种说法，token泄露了，我改密码后，如何让泄漏后的token失效？

[ClearGC]

@jedrek 修改密码时清除该用户在后台（内存、数据库等）的token记录。

[jedrek]

@ClearGC 是的，认证信息还是得存储才行的

[zhujinlong]

服务端放内存或redis或存db，客户端放headers

[qianlifeng]

jsob web token

[qianlifeng]

json web token http://jwt.io/

[freeznet]

jwt +1
http://jwt.io

[bkmi]

我们用UUID当token，失效机制大概就像楼上说的，登录重新生成，过期失效，修改密码失效，还有些安全规则失效

[nisnaker]

@jedrek 服务端记住这个改密码的时间点，早于这个点的token失效。

[Comdex]

@nisnaker
@q84629462
@nisnaker
@hahasong 新手能请问一下为了防止重放攻击什么的，貌似要用到什么签名，那个签名是怎么生成的，服务器端又怎样验证的，怎么与token一起使用？谢谢

[aftereclipse]

token放redis和数据库 登录过程采用https或者自定义的加密方式，返回token+过期时间给客户端 。后续所有api调用都校验token。这样分布式部署应用的时候就无需考虑session问题，所有服务器统一从redis中获取校验token就好了