我已经构建了一个 API，为登录的用户生成身份验证令牌。此时我也有一个用 Node.JS 编写的客户端应用程序。
当我使用用户凭据从客户端应用程序向 API 发出请求时，我得到了身份验证令牌：我应该如何将它存储在客户端应用程序中？我不应该在每次想要请求 API 时都请求令牌，对吗？
我考虑过将令牌放入 Cookie 中，但我认为这不是最好的解决方案。
你会推荐什么？
【问题讨论】：
标签： node.js api rest authentication token
我们正在开发一个使用非常相似的方法的应用程序。客户端应用程序是静态 HTML5/JS 单页应用程序（没有任何服务器端生成）并与 API 服务器通信。
最好的方法是将会话令牌存储在内存中：即在 JS 代码中的一个变量中。如果您的客户端应用程序是单页，那应该不是问题。
除此之外，我们还将会话令牌保存在 sessionStorage 中，以防用户刷新页面。为了在创建新选项卡时保留令牌（sessionStorage 特定于浏览器窗口），我们还将在页面关闭时将其存储在 localStorage 中，以及打开选项卡的计数器（当应用程序的所有选项卡都关闭时，我们删除令牌。
// Handle page reloads using sessionStorage
var sess = sessionStorage.getItem('session-token')
if(sess && sess !== 'null') { // Sometimes empty values are a string "null"
localStorage.setItem('session-token', sess)
}
// Set a counter to check when all pages/tabs of the application are closed
var counter = parseInt(localStorage.getItem('session-counter') || 0, 10)
counter++
localStorage.setItem('session-counter', counter)
// Event fired when the page/tab is closing
window.onbeforeunload = function() {
var counter = parseInt(localStorage.getItem('session-counter') || 0, 10)
counter--
localStorage.setItem('session-counter', counter)
// All pages are closed: remove the session token
if(counter <= 0) {
// Handle page reloads using sessionStorage
sessionStorage.setItem('session-token', localStorage.getItem('session-token'))
localStorage.removeItem('session-token')
}
}
有关 localStorage 和 sessionStorage 的更多信息：https://developer.mozilla.org/en-US/docs/Web/API/Web_Storage_API
为什么不使用 cookie？ cookie 不好有两个原因： 1. 它们通常更持久，在浏览器窗口和选项卡之间共享，即使在浏览器关闭后它们也可以持久存在。 2. 然而，最重要的是，根据 HTTP 规范，它们必须在每次发出请求时发送到 Web 服务器。如果您正在设计一个客户端与 API 服务器完全分离的应用程序，那么无论如何您都不希望客户端的服务器看到（或记录！）会话令牌。
一些额外的建议：
【讨论】：
我认为这个链接可以帮助你：
其实你应该有一个有过期日期的token，这样你就不必每次发送请求前都获取一个新的token。当令牌过期时，您只需从服务“刷新令牌”中获取一个新令牌。
关于如何将令牌存储在客户端应用程序中的问题，我认为您可以将其保存在内存中（地图或嵌入式数据库）。
否则，我认为在这种用例中使用 cookie 不是一个好主意。
希望对您有所帮助。 蒂埃里
【讨论】：
成功登录后，应在服务器端创建一个唯一的一次性令牌，并根据用户 ID 和时间戳存储在数据库中。您将令牌存储在 cookie 客户端中。然后，您将令牌传递给每个后续 API 调用。然后服务器应检查令牌是否有效（即未过期，例如在 30 分钟前发布或更新）。如果它有效，您可以检索针对该令牌存储的用户详细信息并执行您需要的任何后端功能（当用户通过身份验证时）。然后，您更新该令牌的时间戳（刷新会话，因为您希望在 30 分钟没有用户交互后登录超时）。如果在获取 API 调用时令牌已过期或不存在，则重定向到登录页面。
此外，您可能已经知道这一点，但请确保令牌是唯一的且不可猜测的，我倾向于生成新的随机 GUID 并对其进行加密，不要使用顺序 id 或类似的东西。
【讨论】：