android - 如何确定移动应用程序中用户的登录状态

Question

我正在构建我的第一个用户可以登录的移动应用程序。我的应用程序与我网站后端的网络服务对话。用户可以通过 Facebook 或电子邮件/密码组合登录。

我习惯于为我的网站使用 ASP.NET 表单例份验证，但对于移动应用程序:存储登录状态的建议方法是什么？

Facebook/Uber/Gmail 等应用如何做到这一点？验证每个请求？服务器上是否存在超时(例如，60 分钟不活动需要重新登录)。或者是否只是一个本地 cookie，其中设置了标志 loggedin=true 并存储了用户的用户名？ (可能再次超时)？

Answer 1

服务器端生成一个 128 位或更高加密强度的随机 token ，并存储在 cookie 客户端中。该 token 与用户及其创建的 IP 相关联。

所有请求都经过加密(因此 token 无法被嗅探)。当他们提出请求时，他们会向您发送 token 。然后，您检查并查看数据库中与该 token 关联的用户，并确保 IP 匹配。如果他们这样做并且 token 与用户相关联，则将请求视为来自该用户。如果不是，则为无效请求。

超时不是必需的，但确实提供了额外的安全性。注销就像删除数据库中的 token 一样简单。此外，应禁止在短时间内发出过多无效请求的客户端。