深入解析Access Token与Refresh Token机制：安全认证的最佳实践

1次阅读

没有评论

共计 2784 个字符，预计需要花费 7 分钟才能阅读完成。

在传统的 Web 应用中，用户认证通常依赖于 Session 机制。服务器会为每个登录的用户创建一个 Session，并将 Session ID 存储在 Cookie 中返回给客户端。虽然这种方式简单直接，但它存在几个明显的局限性：

服务器存储压力：Session 信息需要存储在服务器内存或数据库中，当用户量增大时，会给服务器带来巨大的存储压力。
扩展性问题：在分布式系统中，Session 需要在各个服务节点间共享，这增加了系统的复杂性。
CSRF 攻击风险 ：基于 Cookie 的 Session 容易受到跨站请求伪造(CSRF) 攻击。

Token 认证机制通过将用户状态信息编码到 Token 中，解决了上述问题：

无状态性：服务器不需要存储 Session 信息，减轻了存储压力。
易于扩展：Token 可以轻松地在分布式系统中传递和验证。
防止 CSRF：Token 通常存储在 HTTP 头部而非 Cookie 中，减少了 CSRF 攻击的风险。

JWT 是一种开放标准(RFC 7519)，它定义了一种紧凑且自包含的方式，用于在各方之间安全地传输信息。一个 JWT 由三部分组成：

Header：包含 Token 类型和使用的加密算法
Payload：包含声明(claims)，即用户信息和附加数据
Signature：用于验证消息在传输过程中没有被篡改

优点：
– 自包含：无需额外查询数据库即可获取用户信息
– 紧凑：体积小，传输效率高
– 标准化：有完善的规范和广泛的库支持

缺点：
– 无法主动失效：一旦签发，在过期前都有效
– 信息暴露：Payload 是 base64 编码的，可以被解码查看

Opaque Token 是指不透明的 Token，通常是随机生成的字符串，不包含任何用户信息。服务器需要维护一个 Token 数据库来存储 Token 与用户信息的映射关系。

优点：
– 安全性高：Token 本身不包含敏感信息
– 可控性强：可以随时撤销特定 Token

缺点：
– 需要额外存储：服务器需要维护 Token 数据库
– 每次验证都需要查询：增加了数据库访问开销

选择建议：
– 如果系统需要频繁获取用户信息且对性能要求高，选择 JWT
– 如果安全性是首要考虑，且可以接受额外的存储开销，选择 Opaque Token

以下是一个使用 Node.js 生成 JWT 的示例：

const jwt = require('jsonwebtoken');

// 生成 Access Token (有效期 15 分钟)
function generateAccessToken(user) {
  return jwt.sign({ userId: user.id, role: user.role},
    process.env.ACCESS_TOKEN_SECRET,
    {expiresIn: '15m'}
  );
}

// 生成 Refresh Token (有效期 7 天)
function generateRefreshToken(user) {
  return jwt.sign({ userId: user.id},
    process.env.REFRESH_TOKEN_SECRET,
    {expiresIn: '7d'}
  );
}

验证 Access Token 的中间件示例：

function authenticateToken(req, res, next) {const authHeader = req.headers['authorization'];
  const token = authHeader && authHeader.split(' ')[1];

  if (!token) return res.sendStatus(401);

  jwt.verify(token, process.env.ACCESS_TOKEN_SECRET, (err, user) => {if (err) return res.sendStatus(403);
    req.user = user;
    next();});
}

当 Access Token 过期时，客户端可以使用 Refresh Token 获取新的 Access Token：

app.post('/token', (req, res) => {
  const refreshToken = req.body.token;
  if (!refreshToken) return res.sendStatus(401);

  // 验证 Refresh Token 是否有效且未过期
  jwt.verify(refreshToken, process.env.REFRESH_TOKEN_SECRET, (err, user) => {if (err) return res.sendStatus(403);

    // 生成新的 Access Token
    const accessToken = generateAccessToken({id: user.userId});
    res.json({accessToken});
  });
});