python - 摧毁一个 Flask Restful token

Question

以下Flask RESTful Destroy User Token讨论了如何销毁 flask token ，但这并不能阻止中间人攻击。无论如何要使 token 无效，以便它在到期之前不再处于事件状态？

Answer 1

您引用的问题中显示的 token 是通过向某些数据添加加密签名创建的。通常存储在 token 中的数据包括 token 所有者(例如用户 ID)，还可以包括到期日期。

这些 token 的好处是所有有用的数据都存储在 token 中，因此您不需要在数据库中存储任何内容。您只需将 token 传递给客户端，当客户端发回它时，您对其进行解码并使用其中的信息来了解客户端是谁。

这种方法的缺点是没有简单的方法来撤销 token ，因为 token 没有存储在任何地方。要扩展此机制以允许撤销，您可以添加一个存储已撤销 token 的数据库表。然后在 token 验证期间，您不仅要解码 token ，还要确保 token 不在您的已撤销列表中。

另一种完全不同的方法是不使用签名 token 。只需将 token 设为随机 UUID 并将其存储在每个用户的用户表中即可。如果你索引它，那么当客户端发送 token 时，你可以通过数据库搜索找到用户。然后只需为用户清除 token 字段即可撤销 token 。

希望对您有所帮助!