前后端分离项目 AccessToken 验证机制设计问题

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 2464 天前的主题，其中的信息可能已经有所发展或是发生改变。

简单画了一个流程图，帮忙看下设计上有什么问题吗？

这种方案常见吗？大家一般都是什么设计方式~

4 条回复

notreami

2018-02-26 15:26:12 +08:00

sign 是个坑，万一用户时间和服务时间就是相差 5 分钟呢？一直不让登陆？

solee

2018-02-26 16:04:20 +08:00

前端登陆 -> 发 jwt token
前端访问服务带上 token 过来验证就行了。因为我们服务设计都是无状态，不需要 token 中带上状态信息。
然后控制下 token 的过期时间或者过期模式就差不多了

hoythan

2018-02-26 18:28:07 +08:00

@solee token 啥信息都不带，只是一个非常单纯的 key

hoythan

2018-02-26 18:29:33 +08:00

@notreami 对一些要求严格的可以加 sign，不加的话也行，时间可以精确到分，时甚至天或者月。也就是这个地址一个月后会失效