前后端分离——token超时刷新策略

hatlonely 发布于2019-08-16 14:20 / 1522人阅读

摘要：实现目标延长过期时间活跃用户在过期时，在用户无感知的情况下动态刷新，做到一直在线状态不活跃用户在过期时，直接定向到登录页登录返回字段如何签发，请看上一篇推文，这里不做过多介绍。如果你有更好的做法，欢迎留言告知我，谢谢啦。

前言

记录一下前后端分离下————token超时刷新策略！

需求场景

昨天发了一篇记录前后端分离应用——用户信息传递　中介绍了token认证机制，跟几位群友讨论了下，有些同学有这么一个疑惑：token失效了，应该怎么做？强制定向到登录页？

其实理论上如果是活跃用户，token失效后，假如用户正在操作表单，此时突然定向到登录页面，那用户体验太差了。

实现目标

延长token过期时间

活跃用户在token过期时，在用户无感知的情况下动态刷新token，做到一直在线状态

不活跃用户在token过期时，直接定向到登录页

登录返回字段

如何签发token，请看上一篇推文，这里不做过多介绍。先看看登录接口返回的数据如下：

@Data
public class LoginVo implements Serializable {

    private static final long serialVersionUID = 6711396581310450023L;

    //...省略部分业务字段
    
    /**
     * token令牌 过期时间默认15day
     */
    private String jwt;
    
    /**
     * 刷新token 过期时间可以设置为jwt的两倍，甚至更长，用于动态刷新token
     */
    private String refreshJwt;
    
     /**
     * token过期时间戳
     */
    private Long tokenPeriodTime;

}

具体返回字段的意义请看注释，这里再简要说明：

jwt：用户正常访问接口时提交的token，过期时间设置长一些，15day吧

refreshJwt：刷新token 过期时间可以设置为jwt的两倍，甚至更长，用于动态刷新token时候提交后台验证

tokenPeriodTime：token过期时间戳，前端每次调用接口前需要主动判断是否已经过期，如果过期则提交refreshJwt访问token刷新的接口进行刷新

动态刷新token

前端检测到token过期后，携带refreshJwt访问后台刷新token的接口，服务端在拦截器中依然对refreshJwt进行解析鉴权

假如refreshJwt也过期了，提示登录过期，强制跳转登录页

假如refreshJwt还在有效期，则签发新的token返回，前端使用最新的token进行接口请求

总结

如果是活跃用户，那么允许他在refreshJwt过期时间与token过期时间的差值这段时间内，不停的动态刷新token，使其做到无感知的状态下一直保持登录状态

如果用户不活跃，在refreshJwt过期时间到了，依然没有使用系统，那么将判定为不活跃用户，此时应当重定向到登录页了

最后

篇幅较短，主要是延续上一篇前后端分离应用——用户信息传递　遗留问题做一下总结。如果你有更好的做法，欢迎留言告知我，谢谢啦。后续会不定期更新原创文章，欢迎关注公众号「张少林同学」！

云服务器 GPU云服务器前后端分离前后端分离开发 js前后端分离框架前后端不分离 jsp

文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。

转载请注明本文地址：https://www.ucloud.cn/yun/72935.html

签发的用户认证token超时刷新策略

摘要：签发的用户认证超时刷新策略这个模块分离至项目权限管理系统与前后端分离实践，感觉那样太长了找不到重点，分离出来要好点。这样在有效期过后的时间段内可以申请刷新。签发的用户认证token超时刷新策略这个模块分离至项目api权限管理系统与前后端分离实践，感觉那样太长了找不到重点，分离出来要好点。对于登录的用户签发其对应的jwt，我们在jwt设置他的固定有效期时间，在有效期内用户携带jw...

e10101 2019-08-15 15:38 评论0 收藏0
api权限管理系统与前后端分离实践

摘要：自己在前后端分离上的实践要想实现完整的前后端分离，安全这块是绕不开的，这个系统主要功能就是动态管理，这次实践包含两个模块基于搭建的权限管理系统后台编写的前端管理。自己在前后端分离上的实践要想实现完整的前后端分离，安全这块是绕不开的，这个系统主要功能就是动态restful api管理，这次实践包含两个模块,基于springBoot + shiro搭建的权限管理系统后台bootshir...

bawn 2019-06-28 16:23 评论0 收藏0
api权限管理系统与前后端分离实践

摘要：自己在前后端分离上的实践要想实现完整的前后端分离，安全这块是绕不开的，这个系统主要功能就是动态管理，这次实践包含两个模块基于搭建的权限管理系统后台编写的前端管理。自己在前后端分离上的实践要想实现完整的前后端分离，安全这块是绕不开的，这个系统主要功能就是动态restful api管理，这次实践包含两个模块,基于springBoot + shiro搭建的权限管理系统后台bootshir...

tianlai 2019-08-15 15:24 评论0 收藏0