java - HTTP URL token 标准

Question

我需要在系统中开发一项功能，允许未注册用户通过由经过身份验证的用户生成/发送的 URL token 获得一次性系统访问权限。

例如，用户登录并想分享一条信息，因此系统会生成一个 URL，如 http://host/page?token=jkb345k4b5234k54kh5345kb34kb34。然后将此 URL 发送给未注册的用户，该用户将遵循该 URL 以获得对通常 protected 数据的一些有限访问权限。

第一个问题 - 是否有任何标准(RFC？IETF？其他？)可以定义 URL 生成？我唯一能找到的是 RFC2289和 OpenToken ，但这些都与我需要做的事情没有直接关系，后者只是处于二稿状态。

还有另一个设计考虑因素:是否使用一种方式的加密哈希函数并将有效负载存储在本地数据存储 VS 使用公私 key 对并将所有必要的有效负载编码在唯一字符串本身中。

目前我非常倾向于单向哈希，因为它会给我更多的自由(有效载荷大小和生成的字符串之间没有依赖性)并且将来的潜在问题更少(例如，如果我决定添加更多有效载荷怎么办 -如何确保向后兼容性)。最后但同样重要的是，服务器端私钥的意外暴露将需要在 key 再生、更新所有 Activity 实例等方面付出大量努力。如果选择单向哈希选项，这些问题都不相关，但也许有什么我忽略了？ RFC2289 更喜欢一种方式的加密功能，而 OpenToken 选择 key 对选项。

最后，有人知道用于生成这些的任何 Java 库吗？

提前致谢。

Answer 1

另请查看 http://en.wikipedia.org/wiki/Universally_unique_identifier和 RFC4122 .在后端，您需要将生成的 uuid 附加到您的实体，以便稍后可以根据 UUID 进行验证。

除此之外， token 通常可以包含一些数据(例如版本控制+用户数据)，然后使用安全的 MD5 哈希对其进行“混淆/匿名化”。随后数据由服务器连接并再次比较哈希值。

关于 java-lib 和 uuid 看看 UUID-javadoc .