草庐IT

如何用 30s 给面试官讲清楚什么是 Token？

飞天小牛肉 2023-03-28 原文

引言

前文介绍了 Session-Cookie 的认证过程，简单回顾下基本步骤：

  1. 客户端（浏览器）向服务器发送用户名和密码
  2. 服务器验证通过后，创建 Session 对象，在 Session 中保存该用户相关的数据，比如用户角色、登录时间等等
  3. 服务器向用户返回这个 Session 对象的唯一标识 SessionId，并写入客户端的 Cookie
  4. 客户端随后的每一次请求，都会通过 Cookie，将 SessionId 传回服务器
  5. 服务器收到 SessionId，并据此找到 Session 对象，由此获取到用户信息

这种方法的缺点就是分布式集群情况下无法保证每台服务器都拥有相同的 Session，上篇文章也简单介绍了几种 Session 如何在多个服务器之间共享的方法。

显然，Session 的维护给服务端造成了极大的压力和困扰，有没有更好的方案，能不能直接不用 Session？

为此，Token 应运而生。

30s 图解 Token 认证

首先，什么是 Token？

简单来说，Token 其实就是一串字符串，一个令牌，客户端访问服务器时，验证通过后服务端会根据设定好的规则为其签发一张令牌，之后，客户端就可以携带这个令牌访问服务器，服务端只需要根据规则验证令牌的有效性即可。

一般来说，Token 的组成是这样的：

uid (用户唯一的身份标识) + time (当前时间的时间戳) + sign (签名，Token 的前几位以哈希算法压缩成的一定长度的十六进制字符串)

基于 Token 的认证步骤如下图，配合文字食用：

1）客户端（浏览器）：用户向服务器发送登录信息（用户名和密码）来请求登录校验；

2）服务端：验证用户名密码等，验证成功后生成 token 并返回给前端，这个 token 就是之后鉴权的唯一凭证；

3）客户端：将服务端返回的 token 存在 cookie 或者 localStorge 中，之后的每次请求之前，从 cookie 或者 localStorge 取出 token 将其设置进 HTTP Header 中（可以通过 HTTP 请求拦截器实现）；

4）服务端：服务端接收到来自客户端的请求，从 HTTP Header 中取出 token，并根据规则对 token 进行校验，如果验证通过则执行进一步的业务操作，如果不通过则拒绝执行。

附加阅读

Refresh Token

一般来说，为了安全起见，防止 token 被攻击者盗用，token 的有效期不会设置的太长，这样就会由于 token 过期导致用户需要重新登录从而生成新的 token。

如何才能做到不需要用户去频繁的登录呢，Refresh Token 机制出现了。

我们把之前的那个 Token 称之为 Access Token，业务接口用这个 Access Token 进行认证鉴权

而 Refresh Token 呢，就是一个专门用来在 Access Token 过期后重新获取新的 Access Token 的 Token

Refresh Token 的过期时间设置的长一点比如一两个月，Access Token 的过期时间设置短一点比如一周，这样可以缩短 Access Token 的过期时间保证安全，同时又不会因为频繁过期重新要求用户登录

具体认证步骤如下图，配合文字食用：

1）客户端（浏览器）：用户向服务器发送登录信息（用户名和密码）来请求登录校验；

2）服务端： 验证用户名密码等，验证成功后生成 Access Token 和 Refresh Token 并返回给客户端；

3）客户端： 将服务端返回的 Access Token 和 Refresh Token 存在 cookie 或者 localStorge 中，之后的每次请求之前，从 cookie 或者 localStorge 取出 Access Token 将其设置进 HTTP Header 中（可以通过 HTTP 请求拦截器实现）；

4）服务端：

  • 验证 Access Token 有效：正常返回数据
  • 验证 Access Token 过期：拒绝请求
    • 客户端：重新发起请求，在 HTTP Header 中携带 Refresh Token 发送给服务端
    • 服务端：验证客户端传来的 Refresh Token ，验证成功后生成新的 Access Token 并返回给客户端
    • 客户端：获得服务端返回的新的 Access Token，重新发起请求并携带新的 Access Token

如何理解 Refresh Token 的必要性，或者说为什么使用 Refresh Token 能够更安全？

  • Access Token 每次访问都要带着，因此更容易被盗取
  • 而 Refresh Token 客户端获取到之后就保存起来，Access Token 失效之后，才会用到 Refresh Token，所以粗略来说 Refresh Token 只会在网络上传输两次，一次是你获取的时候，一次是你使用的时候（从上图可以看出来），因此 Refresh Token 被盗的风险远远小于 Access Token

小伙伴们大家好呀，本文首发于公众号@飞天小牛肉，阿里云 & InfoQ 签约作者，分享大厂面试真题原创题解 & 成长经验。回复『春秋招』我拉你进求职交流群，回复『简历修改』免费获取简历修改服务，回复『Echo』免费获取社区项目手把手教程）

收留 2023 秋招伤心人，秋招补录 & 春招强势开启，现在不投年后要被冲烂啦，信息汇总长期更新：小牛肉 x 互联网春招 & 秋招补录信息汇总

讲清何用TokenAccessstrong求职面试

有关如何用 30s 给面试官讲清楚什么是 Token？的更多相关文章

  1. ruby - 为什么我可以在 Ruby 中使用 Object#send 访问私有(private)/ protected 方法？ - 2

    类classAprivatedeffooputs:fooendpublicdefbarputs:barendprivatedefzimputs:zimendprotecteddefdibputs:dibendendA的实例a=A.new测试a.foorescueputs:faila.barrescueputs:faila.zimrescueputs:faila.dibrescueputs:faila.gazrescueputs:fail测试输出failbarfailfailfail.发送测试[:foo,:bar,:zim,:dib,:gaz].each{|m|a.send(m)resc

  2. ruby-on-rails - Rails - 子类化模型的设计模式是什么？ - 2

    我有一个模型:classItem项目有一个属性“商店”基于存储的值，我希望Item对象对特定方法具有不同的行为。Rails中是否有针对此的通用设计模式？如果方法中没有大的if-else语句，这是如何干净利落地完成的？ 最佳答案 通常通过Single-TableInheritance. 关于ruby-on-rails-Rails-子类化模型的设计模式是什么？，我们在StackOverflow上找到一个类似的问题： https://stackoverflow.co

  3. ruby - 什么是填充的 Base64 编码字符串以及如何在 ruby​​ 中生成它们？ - 2

    我正在使用的第三方API的文档状态:"[O]urAPIonlyacceptspaddedBase64encodedstrings."什么是“填充的Base64编码字符串”以及如何在Ruby中生成它们。下面的代码是我第一次尝试创建转换为Base64的JSON格式数据。xa=Base64.encode64(a.to_json) 最佳答案 他们说的padding其实就是Base64本身的一部分。它是末尾的“=”和“==”。Base64将3个字节的数据包编码为4个编码字符。所以如果你的输入数据有长度n和n%3=1=>"=="末尾用于填充n%

  4. ruby - 解析 RDFa、微数据等的最佳方式是什么，使用统一的模式/词汇(例如 schema.org)存储和显示信息 - 2

    我主要使用Ruby来执行此操作，但到目前为止我的攻击计划如下:使用gemsrdf、rdf-rdfa和rdf-microdata或mida来解析给定任何URI的数据。我认为最好映射到像schema.org这样的统一模式，例如使用这个yaml文件，它试图描述数据词汇表和opengraph到schema.org之间的转换:#SchemaXtoschema.orgconversion#data-vocabularyDV:name:namestreet-address:streetAddressregion:addressRegionlocality:addressLocalityphoto:i

  5. ruby - 为什么 4.1%2 使用 Ruby 返回 0.0999999999999996？但是 4.2%2==0.2 - 2

    为什么4.1%2返回0.0999999999999996？但是4.2%2==0.2。 最佳答案 参见此处:WhatEveryProgrammerShouldKnowAboutFloating-PointArithmetic实数是无限的。计算机使用的位数有限(今天是32位、64位)。因此计算机进行的浮点运算不能代表所有的实数。0.1是这些数字之一。请注意，这不是与Ruby相关的问题，而是与所有编程语言相关的问题，因为它来自计算机表示实数的方式。 关于ruby-为什么4.1%2使用Ruby返

  6. ruby - ruby 中的 TOPLEVEL_BINDING 是什么？ - 2

    它不等于主线程的binding，这个toplevel作用域是什么？此作用域与主线程中的binding有何不同？>ruby-e'putsTOPLEVEL_BINDING===binding'false 最佳答案 事实是，TOPLEVEL_BINDING始终引用Binding的预定义全局实例，而Kernel#binding创建的新实例>Binding每次封装当前执行上下文。在顶层，它们都包含相同的绑定(bind)，但它们不是同一个对象，您无法使用==或===测试它们的绑定(bind)相等性。putsTOPLEVEL_BINDINGput

  7. ruby - Infinity 和 NaN 的类型是什么？ - 2

    我可以得到Infinity和NaNn=9.0/0#=>Infinityn.class#=>Floatm=0/0.0#=>NaNm.class#=>Float但是当我想直接访问Infinity或NaN时:Infinity#=>uninitializedconstantInfinity(NameError)NaN#=>uninitializedconstantNaN(NameError)什么是Infinity和NaN？它们是对象、关键字还是其他东西？ 最佳答案 您看到打印为Infinity和NaN的只是Float类的两个特殊实例的字符串

  8. ruby-on-rails - 如果 Object::try 被发送到一个 nil 对象，为什么它会起作用？ - 2

    如果您尝试在Ruby中的nil对象上调用方法，则会出现NoMethodError异常并显示消息:"undefinedmethod‘...’fornil:NilClass"然而，有一个tryRails中的方法，如果它被发送到一个nil对象，它只返回nil:require'rubygems'require'active_support/all'nil.try(:nonexisting_method)#noNoMethodErrorexceptionanymore那么try如何在内部工作以防止该异常？ 最佳答案 像Ruby中的所有其他对象

  9. ruby - 为什么 SecureRandom.uuid 创建一个唯一的字符串？ - 2

    关闭。这个问题需要detailsorclarity.它目前不接受答案。想改进这个问题吗？通过editingthispost添加细节并澄清问题.关闭8年前。Improvethisquestion为什么SecureRandom.uuid创建一个唯一的字符串？SecureRandom.uuid#=>"35cb4e30-54e1-49f9-b5ce-4134799eb2c0"SecureRandom.uuid方法创建的字符串从不重复？

  10. ruby-on-rails - Rails 中的 NoMethodError::MailersController#preview undefined method `activation_token=' for nil:NilClass - 2

    似乎无法为此找到有效的答案。我正在阅读Rails教程的第10章第10.1.2节，但似乎无法使邮件程序预览正常工作。我发现处理错误的所有答案都与教程的不同部分相关，我假设我犯的错误正盯着我的脸。我已经完成并将教程中的代码复制/粘贴到相关文件中，但到目前为止，我还看不出我输入的内容与教程中的内容有什么区别。到目前为止，建议是在函数定义中添加或删除参数user，但这并没有解决问题。触发错误的url是http://localhost:3000/rails/mailers/user_mailer/account_activation.http://localhost:3000/rails/mai

随机推荐