如何在设备上组织身份验证？

Question

我从this post 中了解到，对自定义服务进行用户身份验证的最佳方式是使用基于令牌的身份验证：首次发送用户名和密码并从服务器检索令牌。但是我不明白这个过程的一些细节：

1. 令牌应该在多长时间内有效？
2. 如何在移动设备上存储令牌（SQLite、文件；加密与否...）
3. 当令牌过期时，用户将不得不再次验证自己，但这种行为并不令人讨厌。我们可以进行静默身份验证，但要做到这一点，我们需要在设备上存储不正确的用户密码。

Answer 1

1.令牌应该在多长时间内有效？

这取决于您的应用程序的预期使用情况。一旦您知道用户每天打开应用程序的次数以及他/她在与应用程序的一次会话/交互期间需要多少时间，您就可以决定这一点。假设您正在开发一个社交媒体应用程序，用户将每天打开/关闭应用程序数次。对于这样的应用程序，令牌的生命周期应该更长。

2。如何在移动设备上存储令牌（SQLite、文件；加密与否……）

只需使用Shared Preferences 就足够了，但请确保在服务器端更新令牌值时更新令牌。

3.当令牌过期时，用户将不得不再次验证自己，但这种行为并不令人讨厌。我们可以进行静默身份验证，但要做到这一点，我们需要在设备上存储不正确的用户密码。

您也可以在移动端不保存用户名和密码的情况下进行静默认证。只需在使用过期令牌调用 API 时更新令牌。