为移动端api做认证时,通过token的方式来做认证。使用jwt规范,具体实现如(请参考java-jwt文档); 总体流程:用户登录后,签发token给客户端,并保存该token到缓存jwtCache中,客户端每次访问api时,请求头中带token过来,判断该token是否是签发过的token,若是运行访问,不是,则拒绝访问;
遇到的问题: 1.单使用jwt,当到过期时间时,用户继续访问会被强制性退出。 2.当用户在web端修改了用户密码,或者禁止用户登录,怎样判定该token失效,让用户退出登录;解决方法: 1.与ehcache集成,设定缓存的失效时间与过期存活时间。 2.用户修改密码或者禁止登录时,对该用户的jwtCache缓存进行清除;拦截器中判定该token是否存在 于缓存该用户的集合中,若存在,则有效,不存在则无效,退出登录;
1.1 token中payload的自定义数据为(userId,签发日期,随机数),随机数是为了同一用户在不同设备同时登录时(或者并发之类),使得签发的token做唯一性处理;1.2 secret定义为配置文件的jwtSecret:uuid;1.3 把生成的token存放在缓存jwtCache中;其中jwtCache缓存定义的过期时间为十四天,过期还可以存活的时间设置为半小时;缓存存放时以userId为key,value值为Set<String>类型的token集合;1.4 把生成的 token 返回给客户端调用者;
123456789101112131415 |
|