Access Token与Refresh Token的深度解析：安全认证的最佳实践

1次阅读

共计 2618 个字符，预计需要花费 7 分钟才能阅读完成。

在 Web 应用中，用户认证是确保系统安全的第一道防线。传统的 Session 机制虽然简单，但在分布式系统中面临扩展性问题。Token-Based 认证应运而生，其中 Access Token 和 Refresh Token 的组合成为主流方案。

为什么需要区分两种 Token
Access Token 用于直接访问资源，生命周期较短（通常几分钟到几小时）
Refresh Token 用于获取新的 Access Token，生命周期较长（几天到数月）
分离设计实现了 ” 纵向权限分离 ”：即使 Access Token 泄露，攻击窗口也很有限
Session 与 Token 的对比
Session 依赖服务器存储，Token 是自包含的
Token 天然支持跨域，更适合现代前后端分离架构
无状态特性更易实现水平扩展

JWT 的实现特点
标准化结构（Header.Payload.Signature）
自包含声明（claims）减少数据库查询
签名验证确保完整性但无法撤销
OAuth2 的 Token 处理
不限定 Token 格式，常用不透明令牌（opaque token）
必须通过 Token Introspection 端点验证
集中式吊销机制更完善
混合方案最佳实践
用 JWT 作为 Access Token 减少验证开销
Refresh Token 采用数据库存储实现可撤销性
关键操作要求重新认证（step-up authentication）

dependencies {
    implementation 'org.springframework.boot:spring-boot-starter-security'
    implementation 'io.jsonwebtoken:jjwt-api:0.11.5'
    runtimeOnly 'io.jsonwebtoken:jjwt-impl:0.11.5'
    runtimeOnly 'io.jsonwebtoken:jjwt-jackson:0.11.5'
}

@Service
public class TokenProvider {@Value("${jwt.secret}")
    private String secretKey;

    // Access Token 生成（有效期 30 分钟）public String createAccessToken(Authentication authentication) {return Jwts.builder()
            .setSubject(authentication.getName())
            .setIssuedAt(new Date())
            .setExpiration(new Date(System.currentTimeMillis() + 1800000))
            .signWith(SignatureAlgorithm.HS512, secretKey)
            .compact();}

    // Refresh Token 生成（有效期 7 天）public String createRefreshToken(Authentication authentication) {return Jwts.builder()
            .setSubject(authentication.getName())
            .setIssuedAt(new Date())
            .setExpiration(new Date(System.currentTimeMillis() + 604800000))
            .signWith(SignatureAlgorithm.HS512, secretKey)
            .compact();}
}

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
            .authorizeRequests()
            .antMatchers("/api/auth/**").permitAll()
            .anyRequest().authenticated()
            .and()
            .addFilter(new JwtAuthenticationFilter(authenticationManager()))
            .addFilter(new JwtAuthorizationFilter(authenticationManager()));
    }
}