java - 身份验证 token 存储建议

Question

我有一个非交互式设备必须通过 HTTP 定期将数据推送到服务器的情况。我正在考虑采用身份验证 token 方法来验证来自这些设备的请求的有效性。

首先，设备被唤醒并发起 ssl 连接并将其凭据提交给服务器；服务器验证凭据并生成基于 SHA 的 token ，基于凭据 + 一些随机输入，并将 token 发送回设备

此 token 必须作为 header 出现在设备发送的每个 http 请求中。服务器将使用一个 servlet 过滤器来查找此 header 并过滤掉没有它的消息。

没有传输敏感信息，我只是想确保与服务器通信的设备是有效的，而不是有人试图乱用无效数据。 (想成为黑客、脚本小子等。)

token 需要存储在多个“节点”可以验证请求是否有效的地方 - 您建议在哪里这样做？

我可以想到3种方法

1) 有一个单独的网络服务来维护 token 并进行身份验证(我对每个请求的性能开销感到畏缩)

2) 在 session 中维护一组经过身份验证的 token ，并让 servlet 容器使用内置的集群支持来处理它(不确定这是否是最简单的方法)

3) 使用数据库存储 token 并验证它(为此考虑 Redis)

此外，我认为这种方法存在允许中间人攻击的漏洞，但由于客户端只发送几分钟的数据，我冒着风险，欢迎任何更好的方法。

Answer 1

我的看法:

1) 有一个单独的网络服务来维护 token 并进行身份验证

如果是性能问题，需要维护很多设备，我同意这可能成为性能瓶颈。

2) 在 session 中维护一组经过身份验证的 token ，并让 servlet 容器使用内置的集群支持来处理它。

个人意见:永远不要依赖系统集成场景中的 session 。其次，在集群环境中，您必须在成员之间复制 session 状态。尽管容器会处理此问题，但在内存复制的情况下也会对性能产生影响。

3) 使用数据库存储 token 并验证它(为此考虑 Redis)

如果数据库已经到位，请在此处执行

备选方案:使用对称哈希方法。在设备通过身份验证后返回一次性 token (摘要)，每个服务器节点可以独立验证(基于特定标准，例如密码)。 “什么都没分享”。

顺便说一句:毫无疑问，传输必须是安全的 (TLS/SSL)。