处置未使用的安全令牌的最佳方法是什么？

Question

我已经在我正在做的一个项目中实现了一个安全系统，如下（如果图中有什么不清楚的地方请告诉我，虽然很简单）

这完全按照它应该的方式工作，但是如果有人发出请求，并在客户端收到令牌后立即中止它，那么活动令牌仍将在数据库中，并且可以被恶意使用黑客。

虽然我在 verifyToken 步骤中从数据库中删除了令牌，但如果令牌没有到达它，它仍然可以使用。如果在发出令牌后请求被中止，你们认为处理令牌的方法是什么？

此外，即使客户端获得了对令牌的访问权，他也只能在令牌被标记为无效之前发出一次请求。但是，即使是一个请求也可能非常危险。

更新：我的令牌机制如下：

发送令牌：

1)生成 2 个随机令牌：令牌 1 和令牌 2。

2) 生成这样的哈希：token1+userid+SALT

3)将所有数据存储在数据库中。

4)发送token1、token2和新的hash（我称之为id_hash）

验证令牌：

1)接收token1和token2。

2)如果token2与数据库中的不匹配，则返回FALSE。

3) 从会话中获取用户 ID。

4)按以下顺序散列：token1(received) + userid (session) + SALT

5) 使用收到的 id_hash 验证新验证的哈希。

6) 如果匹配，则返回 TRUE，否则返回 FALSE。

这样，用户只能访问/更改与其用户 ID 相关的数据，而不能访问/更改其他用户的 ID。 大家觉得这够了吗？还是这种方法有缺陷？

我在 apache2 网络服务器上使用 PHP 和 MySQL。

Answer 1

发送令牌时，在客户端存储一个随机字符串以用作盐（而不是随机检查盐）

由于所有请求都应在会话中发生，因此请发送此随机字符串以及请求以验证您正在与正确的客户端交谈（在第一阶段发送 - 请求令牌，然后在验证时根据此令牌进行验证）。

这显然不会阻止任何人截获消息，但如果他们得到未使用的令牌，如果没有随机字符串作为第二次测试，它将毫无用处。

另外为您的令牌添加时间戳 - 如果在创建后 10 秒内未验证它们，则它们将无效。

Answer 2

这就是我的方法。

我会在每 3 分钟后重新验证和重新生成令牌。

在处理该令牌发出的任何请求之前，我会检查它是否有效。

这将自动使旧令牌无效。

第二种方式：

TimeStamp：使用时间戳检查该令牌的有效性。如果该令牌在最后 3 分钟内没有任何活动，则该令牌无效。为此，您需要一个 cron job 来使该脚本在每个特定的时间间隔运行。

希望对您有所帮助。