node.js - 我应该如何存储由 RESTful API 生成的 token ？

Question

我已经构建了一个API，为登录的用户生成一个身份验证 token 。此时我也有一个用Node.JS编写的客户端应用程序。
当我使用从客户端应用程序到 API 的用户凭据发出请求时，我得到了身份验证 token :我应该如何将它存储在客户端应用程序中？我不应该在每次请求 API 时都请求 token ，对吗？
我考虑过将 token 放入 Cookie 中，但我认为这不是最好的解决方案。你会推荐什么？

Answer 1

成功登录后，应在服务器端创建一个唯一的一次性 token ，并根据用户 ID 和时间戳存储在数据库中。您将 token 存储在 cookie 客户端中。然后，您将 token 传递给每个后续 API 调用。然后服务器应检查 token 是否有效(即未过期，例如在 30 分钟前发布或更新)。如果它有效，您可以检索针对该 token 存储的用户详细信息并执行您需要的任何后端功能(当用户通过身份验证时)。然后，您更新该 token 的时间戳(刷新 session ，因为您希望在 30 分钟没有用户交互后登录超时)。如果在获取 API 调用时 token 已过期或不存在，则重定向到登录页面。

另外，您可能已经知道这一点，但请确保 token 是唯一的且不可猜测的，我倾向于生成新的随机 GUID 并对其进行加密，不要使用序列 id 或类似的东西。