登录生成双token的理解

本文介绍: 双token机制是为了提高系统安全性而采用的一种措施。它指的是在登录成功后,会生成两个 t ok en返回给客户端::用于访问受限资源,有一定的生命周期,过期需要重新获取。:用于刷新Ac ce ss Tok en,生命周期较长。

为什么 需要双t ok en？

token是为了防止用户信息传来传去导致被劫持，但是假如token没有过期时间或者过期很长，那么显然token被劫持还是不安全的，token就失去了意义。如果token时间短的话，安全性相对提高，但是需要频繁登录，频繁需要服务器返回，对服务器性能是一种浪费，为了解决安全性问题和用户频繁登录问题，采用双token来设计。

双token的介绍和优点

介绍

双token机制是为了提高系统安全性而采用的一种措施。它指的是在登录成功后,会生成两个token返回给客户端:

– Acce ss Token:用于访问受限资源,有一定的生命周期,过期需要重新获取。
– Refres h Token:用于刷新Acce ss Token,生命周期较长

优点

1. 短期Acce ss Token提高安全性,减小被盗用的时间窗口
2. 长期Refres h Token方便免登陆续期,优化用户体验
3. 两级验证机制,Acce ss Token遭破解不会立即导致全部资源被盗用

具体流程

1. 客户端使用用户名密码请求登录
2. 服务端验证成功后,生成Acce ss Token和Refres h Token返回给客户端
3. 客户端在Acc es s Token过期前使用它访问受限资源
4. Acc es s Token过期后,客户端使用Refres h Token请求新的Acc ess Token
5. 服务端验证Refres h Token成功后,生成新的Acc ess Token返回
6. 客户端使用新的Acc ess Token继续访问资源
7. Refres h Token过期时,需要客户端重新登录获取新的Acc ess Token和Refres h Token

1. 生成Acc ess Token和Refresh Token,存储Refresh Token
2. 设置不同的过期时间,如Acc ess Token 30分钟,Refre sh Token 7天
3. 在Access Token过期时验证Refre sh Token是否过期以及合法性
4. 如果通过验证,根据Refre sh Token生成新的Access Token返回
5. 如果Refre sh Token也过期,返回错误码提示重新登录

代码：

const jwt = require('jsonwebtoken');
const secretKey = 'secret';   // access token密钥
const refreshSecret = 'refreshSecret'; // refresh token密钥

function getAccessToken(req, res) {
  let { username, password } = req.body;   // 获取登录表单数据
  if (username &amp;&amp; password) {             // 校验用户名和密码
    let accessToken = jwt.sign({ username }, secretKey, { expiresIn: '30m' });  
                                            // 生成30分钟过期access token
    let refreshToken = jwt.sign({ username }, refreshSecret);  
                                           // 生成无过期refresh token
    res.json({                           // 返回access token和refresh token
      status: 'ok',
      accessToken,  
      refreshToken
    })
  } else {
    res.json({
      status: 'error',
      message: '用户名或密码不能为空!'   // 登录表单校验失败,返回错误信息
    })
  }
}  

function refreshToken(req, res) {    // refresh接口
  let { refreshToken } = req.body;   // 获取refresh token
  if (refreshToken) {                // 校验refresh token
    let decoded = jwt.verify(refreshToken, refreshSecret);  
                                         // 验证refresh token
    let accessToken = jwt.sign({ username: decoded.username }, secretKey, { expiresIn: '30m' });  
                                            // 生成新的30分钟access token  
    res.json({
      status: 'ok',
      accessToken    // 返回新的access token
    })
  } else {
    res.json({
      status: 'error',
      message: '刷新令牌不能为空!'   // refresh token校验失败,返回错误信息
    }) 
  }
}  

app.post('/login', getAccessToken);   // 登录接口,获取token
app.post('/refresh', refreshToken);   // 刷新接口,刷新access token