API Token有效期管理：从安全策略到最佳实践

1次阅读

共计 2333 个字符，预计需要花费 6 分钟才能阅读完成。

API Token 是现代认证授权的核心凭证，相当于系统的临时身份证。但不当的有效期设置会带来严重隐患：

长期有效 Token：一旦泄露等同于永久入侵通道，攻击者可无限期冒用身份
过短有效期：导致频繁重新认证，影响用户体验并增加服务器压力
固定有效期：容易被暴力破解攻击者预测到期时间窗口

JWT 通过 exp(Expiration Time) 声明定义过期时间戳。以下是 Python 实现示例：

import jwt
import datetime

# 生成带有效期的 JWT
def generate_jwt(user_id):
    payload = {
        'sub': user_id,
        'exp': datetime.datetime.utcnow() + datetime.timedelta(minutes=30),  # 30 分钟后过期
        'iat': datetime.datetime.utcnow()}
    return jwt.encode(payload, 'SECRET_KEY', algorithm='HS256')

# 验证 JWT 有效期
def verify_jwt(token):
    try:
        payload = jwt.decode(token, 'SECRET_KEY', algorithms=['HS256'])
        return payload['sub']
    except jwt.ExpiredSignatureError:
        raise Exception('Token 已过期')
    except jwt.InvalidTokenError:
        raise Exception('无效 Token')

Refresh Token 是长效凭证，用于获取新的 Access Token。安全实现要点：

服务端生成 Refresh Token 时记录绑定设备信息
每次刷新时验证原始 Token 的合法性
刷新后使旧 Token 立即失效

Node.js 实现示例：

const refreshTokens = new Map();

// 发放 Token 对
function issueTokenPair(user) {
    const accessToken = jwt.sign({ sub: user.id, exp: Math.floor(Date.now()/1000) + 300 },
        'ACCESS_SECRET'
    );

    const refreshToken = crypto.randomBytes(40).toString('hex');
    refreshTokens.set(refreshToken, {
        userId: user.id,
        deviceFingerprint: getDeviceFingerprint(req)
    });

    return {accessToken, refreshToken};
}

// 刷新 Access Token
function refreshAccessToken(refreshToken) {if(!refreshTokens.has(refreshToken)) {throw new Error('无效 Refresh Token');
    }

    const record = refreshTokens.get(refreshToken);
    refreshTokens.delete(refreshToken); // 使旧 Token 失效

    return issueTokenPair({id: record.userId});
}

根据 OWASP 建议：

安全等级	Access Token 有效期	Refresh Token 有效期
金融 / 医疗	5-15 分钟	7-30 天
企业应用	30-60 分钟	30-90 天
普通 Web 应用	2-24 小时	6-12 个月

IP 绑定：在 Token 中嵌入客户端 IP 的哈希值
使用限制：单个 Token 只能用于特定 API 端点
短期有效：高危操作使用 5 分钟内过期的临时 Token

# 使用 Redis 实现 Token 黑名单
class TokenBlacklist:
    def __init__(self, redis_conn):
        self.redis = redis_conn

    def revoke(self, token, expire_seconds):
        self.redis.setex(f'blacklist:{token}', expire_seconds, '1')

    def is_revoked(self, token):
        return bool(self.redis.exists(f'blacklist:{token}'))