Access Token 从入门到精通：原理、实现与安全实践

1次阅读

共计 1282 个字符，预计需要花费 4 分钟才能阅读完成。

在现代 Web 开发中，身份验证和授权是一个核心问题。传统的 Session 机制存在扩展性差、跨域问题多等缺点，而 Access Token（访问令牌）作为一种轻量级的解决方案，逐渐成为主流。开发者在使用 Access Token 时，常常会遇到以下几个痛点：

Token 泄露 ：如果 Token 被恶意获取，攻击者可以冒充用户进行操作。
Token 过期 ：如何优雅地处理 Token 过期，避免用户频繁登录。
跨域问题 ：在微服务架构中，如何保证 Token 在不同服务间的有效传递。
安全攻击 ：如 CSRF（跨站请求伪造）、XSS（跨站脚本攻击）等。

Access Token 是一个短期的令牌，用于代表用户访问受保护的资源。它通常有一个较短的有效期（如 1 小时），过期后需要重新获取。

Refresh Token 是一个长期的令牌，用于在 Access Token 过期后获取新的 Access Token。它的有效期较长（如 7 天），但只能用于刷新 Token，不能直接访问资源。

JWT 是一种常见的 Token 格式，由三部分组成：
1. Header：指定 Token 的类型和签名算法。
2. Payload：包含用户信息和其他声明（如过期时间）。
3. Signature：用于验证 Token 的完整性和真实性。

以下是一个使用 Node.js 生成和验证 JWT 的示例代码：

const jwt = require('jsonwebtoken');
const secret = 'your-secret-key';

// 生成 Access Token
function generateAccessToken(user) {
  return jwt.sign({ userId: user.id, username: user.username},
    secret,
    {expiresIn: '1h'}
  );
}

// 生成 Refresh Token
function generateRefreshToken(user) {
  return jwt.sign({ userId: user.id},
    secret,
    {expiresIn: '7d'}
  );
}

// 验证 Token
function verifyToken(token) {
  try {return jwt.verify(token, secret);
  } catch (err) {return null;}
}