csrfCSRF（Cross-SiteRequestForgery，跨站点伪造请求）是一种网络攻击方式，该攻击可以在受害者毫不知情的情况下以受害者名义伪造请求发送给受攻击站点，从而在未授权的情况下执行在权限保护之下的操作，具有很大的危害性。具体来讲，可以这样理解CSRF攻击：攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等。什么是CSRF攻击首先用户C浏览并登录了受信任站点A；登录信息验证通过以后，站点A会在返回给浏览器的信息中带上已登
LoginController类具体代码/***app登录*/@AnonymousAccess@PostMapping("login")publicAjaxResultlogin(@RequestBodyLoginBodyloginBody){AjaxResultajax=AjaxResult.success();//生成令牌Stringtoken=loginService.login(loginBody.getUsername(),loginBody.getPassword());ajax.put(Constants.TOKEN,token);returnajax;}登录校验——AppLog
LoginController类具体代码/***app登录*/@AnonymousAccess@PostMapping("login")publicAjaxResultlogin(@RequestBodyLoginBodyloginBody){AjaxResultajax=AjaxResult.success();//生成令牌Stringtoken=loginService.login(loginBody.getUsername(),loginBody.getPassword());ajax.put(Constants.TOKEN,token);returnajax;}登录校验——AppLog
基于redis的认证方式分析redis解决短信验证码时效性，以及使用token的方式判断是否登录的问题。(没用jwt)这里面使用两个拦截器的方式解决：1.给token有效期刷新2.判断用户是否已登录目前验证用户是否已登录，仍然是用到redis和服务端程序去判断，这个和使用session的判断方式有点相似，因为也会用到服务端资源。但是token与session还是有非常大的不同，认证通过后，(认证信息)session都是保存在内存中（服务端服务器中）占内存，如果是分布式的架构，那么也会影响性能。而对于token的方式，认证通过后，(认证信息)token都是保存在redis中的，即使是分布式系统，
基于redis的认证方式分析redis解决短信验证码时效性，以及使用token的方式判断是否登录的问题。(没用jwt)这里面使用两个拦截器的方式解决：1.给token有效期刷新2.判断用户是否已登录目前验证用户是否已登录，仍然是用到redis和服务端程序去判断，这个和使用session的判断方式有点相似，因为也会用到服务端资源。但是token与session还是有非常大的不同，认证通过后，(认证信息)session都是保存在内存中（服务端服务器中）占内存，如果是分布式的架构，那么也会影响性能。而对于token的方式，认证通过后，(认证信息)token都是保存在redis中的，即使是分布式系统，
使用Django编写的B/S应用通常会使用Cookie+Session的方式来做身份验证，用户登录信息存储在后台数据库中，前端Cookie也会存储少量用于身份核验的数据，由后台直接写入。但是在开发调试阶段，使用Postman等请求工具请求登录时，可能会缺失前端本应存储的数据，而导致登录信息核验一直不成功。在本地联调前后端时可能也会有问题。本篇介绍基于Token的身份验证机制，并使用Vue和Django实现。基于Token的验证流程与Session不同的是，Token机制不会将用户登录信息存储在后台数据库中，而是生成含有身份信息的Token字符串存储在前端中。在前端请求需要验证的后台API时，后
使用Django编写的B/S应用通常会使用Cookie+Session的方式来做身份验证，用户登录信息存储在后台数据库中，前端Cookie也会存储少量用于身份核验的数据，由后台直接写入。但是在开发调试阶段，使用Postman等请求工具请求登录时，可能会缺失前端本应存储的数据，而导致登录信息核验一直不成功。在本地联调前后端时可能也会有问题。本篇介绍基于Token的身份验证机制，并使用Vue和Django实现。基于Token的验证流程与Session不同的是，Token机制不会将用户登录信息存储在后台数据库中，而是生成含有身份信息的Token字符串存储在前端中。在前端请求需要验证的后台API时，后
前言书接上文技术选型篇，我们做了【用户身份认证】的技术选型说明，对基于Session、Token、JWT的方案进行了详细的对比分析，详细说明了它们都是什么和各自的优缺点！这些是实战的基础，还没看过的同学，建议先看上文。最终采用的是目前流行的基于JWT的Token用户身份认证机制！本文是实战核心篇，重点是把JWT的核心代码实现！基于上文我们分析的【用户身份认证】的流程，我们可以确定使用JWT的核心是实现两点：生成Token、校验Token！接下来我们就来实现它！本文对应的思维导图：专栏介绍因为可能还有很多同学还不清楚上下文，所以简单介绍一下这个专栏要做的事：天罡老哥和狗哥(
前言书接上文技术选型篇，我们做了【用户身份认证】的技术选型说明，对基于Session、Token、JWT的方案进行了详细的对比分析，详细说明了它们都是什么和各自的优缺点！这些是实战的基础，还没看过的同学，建议先看上文。最终采用的是目前流行的基于JWT的Token用户身份认证机制！本文是实战核心篇，重点是把JWT的核心代码实现！基于上文我们分析的【用户身份认证】的流程，我们可以确定使用JWT的核心是实现两点：生成Token、校验Token！接下来我们就来实现它！本文对应的思维导图：专栏介绍因为可能还有很多同学还不清楚上下文，所以简单介绍一下这个专栏要做的事：天罡老哥和狗哥(
（我的公众号“墨石测试攻略”，分享测试技能和实战项目，欢迎关注！）【什么是Token鉴权？】鉴权是指验证用户是否有权访问系统的行为。Token鉴权是其中一种鉴权方式，其他的鉴权方式还有HTTPBasicAuthentication、session+cookie、OAuthToken是一个令牌，通俗地说就是“暗号”，他是服务端生成的一串字符串。在进行一些数据传递之前，要核对暗号。在web领域，基于Token的身份验证非常常见，如很多操作是在登录之后进行的，用户第一次登录成功后会返回一个Token，后续的操作带上这个token来请求数据即可，不用再带上用户名和密码。如果没有带Token，说明用户没
