All in Token 入门指南：从概念到实战的安全认证方案

1次阅读

共计 1929 个字符，预计需要花费 5 分钟才能阅读完成。

在分布式系统中，传统的多令牌管理方案（如 access token 和 refresh token 分离）带来了不少问题：

维护成本高 ：需要同时管理两种令牌的生命周期，增加了系统复杂性
安全隐患多 ：refresh token 一旦泄露，攻击者可以长期获取新的 access token
性能开销大 ：每次令牌刷新都需要额外的网络请求和验证
用户体验差 ：频繁的令牌过期和刷新会中断用户操作

维度	All in Token	JWT	OAuth2
生命周期管理	单一令牌	双令牌	多令牌
性能开销	低	中	高
安全性	高	中	中
实现复杂度	低	中	高

All in Token 的核心思想是将所有必要信息包含在单个令牌中，使用 HMAC-SHA256 进行签名确保安全性。令牌结构如下：

header.payload.signature

header：包含算法类型和令牌类型
payload：包含用户信息、权限、有效期等
signature：使用密钥对前两部分进行签名

sequenceDiagram
    participant Client
    participant Server
    Client->>Server: 登录请求
    Server->>Server: 生成 All in Token
    Server-->>Client: 返回 Token
    Client->>Server: 携带 Token 请求
    Server->>Server: 验证 Token
    alt Token 有效
        Server-->>Client: 返回请求数据
    else Token 即将过期
        Server->>Server: 生成新 Token
        Server-->>Client: 返回新 Token
    else Token 无效
        Server-->>Client: 返回 401
    end

@Data
@Builder
public class TokenClaims {
    private String userId;
    private List<String> roles;
    private Instant issuedAt;
    private Instant expiresAt;

    public Map<String, Object> toMap() {Map<String, Object> claims = new HashMap<>();
        claims.put("userId", userId);
        claims.put("roles", roles);
        claims.put("iat", issuedAt.getEpochSecond());
        claims.put("exp", expiresAt.getEpochSecond());
        return claims;
    }
}

public class TokenRefreshFilter extends OncePerRequestFilter {
    private final TokenService tokenService;

    @Override
    protected void doFilterInternal(HttpServletRequest request, 
                                   HttpServletResponse response, 
                                   FilterChain filterChain) {String token = extractToken(request);
        if (token != null && tokenService.shouldRefresh(token)) {
            // 使用双重检查锁处理并发刷新
            synchronized (this) {if (tokenService.shouldRefresh(token)) {String newToken = tokenService.refreshToken(token);
                    response.setHeader("X-New-Token", newToken);
                }
            }
        }
        filterChain.doFilter(request, response);
    }
}