基于token的认证方式
在大多数使用Web API的互联网公司中，tokens 是多用户下处理认证的最佳方式 。
以下几点特性会让你在程序中使用基于Token的身份验证
1.无状态、可扩展
2.支持移动设备
3.跨程序调用
4.安全
Token的起源
在介绍基于Token的身份验证的原理与优势之前，不妨先看看之前的认证都是怎么做的 。
基于服务器的验证
我们都是知道HTTP协议是无状态的，这种无状态意味着程序需要验证每一次请求，从而辨别客户端的身份 。
在这之前，程序都是通过在服务端存储的登录信息来辨别请求的 。这种方式一般都是通过存储Session来完成 。
基于服务器验证方式暴露的一些问题
1.Seesion：每次认证用户发起请求时，服务器需要去创建一个记录来存储信息 。当越来越多的用户发请求时，内存的开销也会不断增加 。
2.可扩展性：在服务端的内存中使用Seesion存储登录信息，伴随而来的是可扩展性问题 。
3.CORS(跨域资源共享)：当我们需要让数据跨多台移动设备上使用时，跨域资源的共享会是一个让人头疼的问题 。在使用Ajax抓取另一个域的资源，就可以会出现禁止请求的情况 。
4.CSRF(跨站请求伪造)：用户在访问银行网站时，他们很容易受到跨站请求伪造的攻击，并且能够被利用其访问其他的网站 。
在这些问题中，可扩展性是最突出的 。因此我们有必要去寻求一种更有行之有效的方法 。
基于Token的验证原理
基于Token的身份验证是无状态的，我们不将用户信息存在服务器中 。这种概念解决了在服务端存储信息时的许多问题 。NoSession意味着你的程序可以根据需要去增减机器，而不用去担心用户是否登录 。
基于Token的身份验证的过程如下:用户通过用户名和密码发送请求 。服务器端程序验证 。
3.服务器端程序返回一个带签名的token 给客户端 。
4.客户端储存token,并且每次访问API都携带Token到服务器端的 。
5.服务端验证token，校验成功则返回请求数据，校验失败则返回错误码 。
Tokens的优势无状态、可扩展
在客户端存储的Tokens是无状态的，并且能够被扩展 。基于这种无状态和不存储Session信息，负载负载均衡器能够将用户信息从一个服务传到其他服务器上 。tokens自己hold住了用户的验证信息 。
安全性
请求中发送token而不再是发送cookie能够防止CSRF(跨站请求伪造) 。即使在客户端使用cookie存储token，cookie也仅仅是一个存储机制而不是用于认证 。不将信息存储在Session中，让我们少了对session操作 。
token是有时效的，一段时间之后用户需要重新验证 。
可扩展性
Tokens能够创建与其它程序共享权限的程序 。
多平台跨域
我们提前先来谈论一下CORS(跨域资源共享)，对应用程序和服务进行扩展的时候，需要接入各种各种的设备和应用程序 。
需要设置有效期吗？
对于这个问题，我们不妨先看两个例子 。一个例子是登录密码，一般要求定期改变密码，以防止泄漏，所以密码是有有效期的；另一个例子是安全证书 。SSL 安全证书都有有效期，目的是为了解决吊销的问题 。所以无论是从安全的角度考虑，还是从吊销的角度考虑，Token 都需要设有效期 。
那么有效期多长合适呢？
只能说，根据系统的安全需要，尽可能的短，但也不能短得离谱
然后新问题产生了，如果用户在正常操作的过程中，Token 过期失效了，要求用户重新登录……用户体验岂不是很糟糕？
推荐阅读
- 微信版本低登录不了怎么办
- 微信怎么关闭朋友圈
- 我要投诉拼多多官方平台 拼多多登录平台登录
- 青少年普法网手机怎么登录
- 支付宝怎么付款
- 怎么能让不是微信朋友看朋友圈
- 守望先锋2无法让您登录怎么办-无法登录解决方法
- 怎么区分塑料生熟材质，怎么区分塑料生熟材质和工艺
- 艺术设计与制作专业工资待遇好不好 前景如何
- 艺术设计与制作专业好吗 毕业以后吃香吗