从原理到实践：全面解析access token的存储与管理策略

1次阅读

共计 1592 个字符，预计需要花费 4 分钟才能阅读完成。

在现代 Web 应用中，access token 是身份认证的核心机制之一。它通常由服务端在用户登录成功后生成，并返回给客户端用于后续请求的身份验证。然而，不恰当的存储和管理方式可能导致严重的安全问题，如令牌劫持、CSRF 攻击等。因此，开发者必须深入理解 token 的生命周期管理策略。

Cookie 存储
优点：自动随请求发送，支持 HttpOnly 和 Secure 标记
缺点：可能受到 CSRF 攻击，存储空间有限
localStorage
优点：存储容量大，不会自动发送
缺点：易受 XSS 攻击，需要手动管理
sessionStorage
优点：会话级存储，页面关闭自动清除
缺点：不持久，多标签页间不共享

数据库存储
优点：完全控制令牌生命周期
缺点：增加数据库负载，需要清理机制
内存缓存(Redis)
优点：高性能，自动过期
缺点：系统重启会导致数据丢失

SameSite Cookie 属性设置为 Strict 或 Lax
添加 CSRF Token 作为二次验证
验证 Origin 和 Referer 头部

内容安全策略 (CSP) 限制脚本执行
输入输出编码
避免使用 eval()等危险函数

双令牌策略(access token + refresh token)
滑动过期时间
令牌吊销黑名单

// 生成 JWT 令牌
const generateToken = (userId) => {
  return jwt.sign({ userId},
    process.env.JWT_SECRET,
    {expiresIn: '15m'} // 短有效期
  );
};

// 验证中间件
const authMiddleware = (req, res, next) => {
  const token = req.cookies.access_token;
  if (!token) return res.sendStatus(401);

  jwt.verify(token, process.env.JWT_SECRET, (err, user) => {if (err) return res.sendStatus(403);
    req.user = user;
    next();});
};

// 安全存储 token
function storeToken(token) {
  // 优先使用 HttpOnly Cookie
  document.cookie = `access_token=${token}; Path=/; Secure; HttpOnly; SameSite=Strict`;

  // 如果必须使用 localStorage，确保值加密
  if (mustUseLocalStorage) {const encrypted = CryptoJS.AES.encrypt(token, 'secret_key').toString();
    localStorage.setItem('encrypted_token', encrypted);
  }
}