请教一个 web 接口的安全性问题

[jiuwuerqi]

前端就是简单的 ：html+js

背景 1： 生成认证流程：1：C 端用户登录 -》服务端生成 token -》带回到 C 端，存储 cookie 中 调其他的 web 接口必须带上 token,进行一些校验（时效，ip 等等）

问题：这样被抓包了，别人拿到了 token，就可以调其他的 web 接口.并且可以任意的传递参数！！

背景 2： 在 1 的基础上加上签名参数(sign，加个 时间戳 用 md5 加密）这样即使你拿到了我的 token,但是你不能对我们的参数进行修改

问题：js 会暴露加密的过程！！

暂时就想到这两个安全性的问题，不知道各位有什么好的方式？？

[zjp]

@jiuwuerqi #17 我所说的 token 包含签名部分…前端加密和不加有什么区别呢

[WilliamLin]

@jiuwuerqi 看你系统用户数，如果系统就万把来人用，不用去担心性能问题，另外，我是用了 nosql 的 kv 来保存 token 的