java - REST 上的身份验证 token

Question

我有 REST Jersey Web 服务。

我的问题是关于这个问题的答案，请查看；

token based authentication in php

在该答案中提到；

“然后，它会发送此 token 的哈希值和请求的某些特征来验证请求，例如 sha1( token + 时间戳 + 请求 URL + 请求正文)。您的服务器可以验证这一点，而客户端无需在每个请求上以纯文本形式发送 token 。”

任何人都可以解释服务器如何验证“客户端不必在每个请求上以纯文本形式发送 token ”吗？客户端每次都应该向服务器发送 token 吗？

另一个问题是，一旦服务器收到该 token 的哈希值(包括时间戳和用户ID等)，服务器如何在没有存储 token 的查找表或数据库的情况下从该 token 中识别用户？

Answer 1

对于第一个问题:客户端可以发送 token 的哈希版本，服务器将哈希值与从客户端收到的值进行比较。

对于第二个问题:您可以在内存中、磁盘上或您认为合适的任何地方保留 token 和用户之间的映射。