为什么使用Token方式实现用户身份鉴权认证？

冷不防 2023-10-13 08:51 7阅读 0赞

### 一、什么是Token？ ###

Token，也称为“令牌”，是服务端生成的一串字符串，以作客户端进行请求的一个令牌，当第一次登录后，服务器生成一个Token便将此Token返回给客户端，以后客户端只需带上这个Token前来请求数据即可，无需再次带上用户名和密码。比如如下形式：

39faf62271944fe48c4f1d69be71bc9a

### 二、为什么使用Token？ ###

传统验证用户身份的方式，大多为基于服务器验证的方式，即cookie+session的方式，由于HTTP协议是无状态的，导致程序需要验证每一次请求，从而辨别客户端的身份。

用户登录成功将其信息存入session中，用户每次请求都会将携带session id的cookie一起发送器服务端，进行校验，随着Web、应用程序、以及移动端的崛起，这种验证方式弊端逐渐显现，尤其是在可扩展性方面。

引发的问题比如用户增多导致内存开销较大、CORS(跨域资源共享)以及CSRF(跨站请求伪造)等。

引入Token验证机制后，请求会发送token而不再是发送cookie能有效够防止CSRF，即使在客户端使用cookie存储token，但cookie也只有存储功能，而不再具备验证功能，因此安全性得到了极大的提高。

而且只要token设计的足够复杂，除非用户泄露，否则几乎没有被破解的可能，加上token是有时效的，在有限的时间加上有限的算力，更是无懈可击，这也类似于加密资产比如比特币钱包对应的私钥，安全性极高。

另外Token可以有效减轻服务器的压力，减少频繁的查询数据库，使服务器更加健壮。

### 三、基于Token的身份验证流程 ###

*  客户端使用用户名跟密码请求登录
 *  服务端收到请求，去验证用户名与密码
 *  验证成功后，服务端会签发一个 Token，再把这个 Token 发送给客户端
 *  客户端收到 Token 以后可以把它存储起来，比如放在 Cookie 里或者 Local Storage 里
 *  客户端每次向服务端请求资源的时候需要带着服务端签发的 Token
 *  服务端收到请求，然后去验证客户端请求里面带着的 Token，如果验证成功，就向客户端返回请求的数据

### 四、Token的使用 ###

在我们做用户权限认证的时候，每次请求都会将Token放在请求头中一起发送到服务器端，服务器端通过拦截器进行拦截校验，如果不存在Token、Token错误或者Token过期，则拒绝请求，有效则返回相应的返回结果。

**最后：** 为了回馈铁杆粉丝们，我给大家整理了完整的软件测试视频学习教程，朋友们如果需要可以自行免费领取**`【保证100%免费】`**  
![在这里插 入图片描述][c9cc99a5b00b4900b7269ea5813e9b05.png_pic_center]

**软件测试面试文档**

我们学习必然是为了找到高薪的工作，下面这些面试题是来自阿里、腾讯、字节等一线互联网大厂最新的面试资料，并且有字节大佬给出了权威的解答，刷完这一套面试资料相信大家都能找到满意的工作。

![在这里插入图片描述][f5caea8e55384ffd9d53fbcef5d509f5.png_pic_center]

![75f5da6455a546a29d4e48b4ecaed63c.gif][]

[c9cc99a5b00b4900b7269ea5813e9b05.png_pic_center]: https://img-blog.csdnimg.cn/c9cc99a5b00b4900b7269ea5813e9b05.png#pic_center
[f5caea8e55384ffd9d53fbcef5d509f5.png_pic_center]: https://img-blog.csdnimg.cn/f5caea8e55384ffd9d53fbcef5d509f5.png#pic_center
[75f5da6455a546a29d4e48b4ecaed63c.gif]: https://img-blog.csdnimg.cn/75f5da6455a546a29d4e48b4ecaed63c.gif