1、token化的協(xié)議過(guò)程

image

2、當(dāng)用戶(hù)登錄的時(shí)候，生成access_token和refresh_token，并返回給APP。
當(dāng)access_token失效時(shí)，APP使用refresh_token來(lái)請(qǐng)求刷新token。
如果refresh_token過(guò)期，需要用戶(hù)重新登錄,。也就是說(shuō)，用戶(hù)每一次登陸的時(shí)候refresh_token都會(huì)重新更改

3、token驗(yàn)證

image.png

4、刷新token

image.png

5、原因

• 客戶(hù)端緩存用戶(hù)名和密碼，容易受到黑客攻擊，如果使用了token機(jī)制，就算黑客盜取了用戶(hù)的access_token與refresh_token，只需重新登錄，就可令原來(lái)的token失效。
• 如果訪(fǎng)問(wèn)令牌受到劫持，由于它的存在是短時(shí)間的，所以對(duì)訪(fǎng)問(wèn)令牌的濫用是控制在一定范圍內(nèi)的。
  如果刷新令牌被劫持，基本上無(wú)害的，攻擊者需要得到 client_id,secrect_id (通常存儲(chǔ)在服務(wù)器上)，再加上刷新令牌才可以進(jìn)行操作。