`AccessToken`和`RefreshToken`安全令牌详解

创作时间:

2025-01-22 21:25:43

作者:

@小白创作中心

`AccessToken`和`RefreshToken`安全令牌详解

AccessToken和RefreshToken是现代Web应用和移动应用中常用的安全令牌，用于身份验证和授权管理。本文将详细介绍如何获取、存储和刷新这些令牌，并提供前后端代码示例。

背景

在现代的Web应用和移动应用中，AccessToken和RefreshToken是两种常用的安全令牌，用于身份验证和授权管理。以下是关于如何获取、存储和刷新这些令牌的一些基本指南：

一、获取AccessToken和RefreshToken

用户登录：用户通过输入用户名和密码登录系统。
服务器验证：服务器验证用户的凭据，如果验证成功：

生成一个AccessToken，这个令牌通常具有较短的有效期，比如几分钟到几小时。
生成一个RefreshToken，这个令牌的有效期通常较长，比如几天或几周。

二、存储AccessToken和RefreshToken

客户端存储：在Web应用中，通常将AccessToken存储在内存中或LocalStorage中。在移动应用中，可以将其存储在安全存储中，如iOS的Keychain或Android的SharedPreferences。
刷新令牌的存储：RefreshToken由于有效期较长，需要更加安全的存储方式，通常也存储在客户端的安全存储区域。

使用AccessToken

发送请求：客户端在每次请求受保护资源时，都需要在HTTP请求的头部（Header）中包含AccessToken。

三、刷新AccessToken

监控过期时间：客户端需要监控AccessToken的有效期，并在接近过期时自动刷新。
刷新流程：

使用存储的RefreshToken向服务器发送刷新请求。
服务器验证RefreshToken的有效性，如果有效，生成一个新的AccessToken和一个新的RefreshToken返回给客户端。
客户端更新本地存储的AccessToken和RefreshToken。

1、处理RefreshToken过期

如果RefreshToken也过期或被服务器拒绝，客户端需要提示用户重新登录。

2、安全注意事项

HTTPS：所有令牌的传输都应通过HTTPS进行，以防止中间人攻击。
存储安全：确保客户端存储令牌的方式安全，避免XSS攻击等。
令牌泄露应对：一旦检测到令牌可能已经泄露，应立即使令牌失效，并要求用户重新认证。

代码（前端）

// 假设使用axios进行HTTP请求
axios.interceptors.request.use(config => {
  // 在请求头中添加AccessToken
  const token = localStorage.getItem('access_token');
  if (token) {
    config.headers['Authorization'] = `Bearer ${token}`;
  }
  return config;
}, error => {
  return Promise.reject(error);
});
// 刷新AccessToken的函数
async function refreshToken() {
  const refreshToken = localStorage.getItem('refresh_token');
  try {
    const response = await axios.post('/refresh-token-endpoint', {
      refresh_token: refreshToken
    });
    // 更新AccessToken和RefreshToken
    localStorage.setItem('access_token', response.data.access_token);
    localStorage.setItem('refresh_token', response.data.refresh_token);
  } catch (error) {
    // 处理错误，可能需要用户重新登录
    console.error('Refresh token failed', error);
    // 清除本地存储的令牌
    localStorage.removeItem('access_token');
    localStorage.removeItem('refresh_token');
    // 重定向到登录页面或显示错误信息
  }
}

代码（后端）

from flask import Flask, request, jsonify
from functools import wraps
import jwt
app = Flask(__name__)
# 假设有以下装饰器用于保护路由
def token_required(f):
    @wraps(f)
    def decorated(*args, **kwargs):
        token = request.args.get('token') or request.headers.get('Authorization')
        if not token:
            return jsonify({'message': 'Token is missing!'}), 403
        try:
            data = jwt.decode(token, app.config['SECRET_KEY'], algorithms=["HS256"])
        except:
            return jsonify({'message': 'Token is invalid!'}), 403
        return f(*args, **kwargs)
    return decorated
# 刷新AccessToken的路由
@app.route('/refresh-token', methods=['POST'])
def refresh_token():
    refresh_token = request.json.get('refresh_token')
    if not refresh_token:
        return jsonify({'message': 'Refresh token is missing!'}), 400
    # 验证RefreshToken的有效性
    # 如果有效，生成新的AccessToken和RefreshToken
    # 更新数据库或缓存中的RefreshToken记录
    new_access_token = jwt.encode({'user_id': user_id}, app.config['SECRET_KEY'], algorithm="HS256").decode('utf-8')
    new_refresh_token = generate_refresh_token(user_id)  # 假设这是刷新令牌的生成函数
    # 返回新的AccessToken和RefreshToken
    return jsonify({
        'access_token': new_access_token,
        'refresh_token': new_refresh_token
    })

四、过期的refresh_token

使用过期的access_token去请求服务通常会得到一个错误响应，因为服务端会验证令牌的有效性。一旦检测到access_token已过期，服务端将拒绝这次请求，并可能返回一个特定的错误码，例如401 Unauthorized或403 Forbidden。

在这种情况下，是否刷新本地缓存以及如何处理这种情况，取决于应用的逻辑和设计。以下是一些可能的处理策略：

客户端刷新：

如果客户端（如前端应用或移动应用）检测到access_token过期，并且拥有一个有效的refresh_token，它可以自动使用refresh_token去请求一个新的access_token。
成功获取新的access_token后，客户端会用它来重新发起之前失败的请求，并更新本地存储的access_token，但不会更新refresh_token，除非服务器端也提供了新的refresh_token。