主流软件产品中的Token过期解决方案：以微信网页授权为例

创作时间:

作者:

@小白创作中心

主流软件产品中的Token过期解决方案：以微信网页授权为例

引用

CSDN

等

来源

https://blog.csdn.net/qq_41520636/article/details/143643043

https://blog.csdn.net/2301_77613763/article/details/144381837

https://blog.csdn.net/zhousenshan/article/details/139183821

https://blog.csdn.net/Jiaberrr/article/details/142619309

https://blog.csdn.net/weixin_47339511/article/details/142752121

https://docs.pingcode.com/baike/2215215

https://juejin.cn/post/7414424159520882714

https://www.cnblogs.com/leifonlyone/p/18391399

https://worktile.com/kb/ask/741270.html

在现代Web应用中，Token机制被广泛应用于用户认证和授权。然而，Token过期问题一直是开发者面临的重要挑战。本文将深入探讨主流软件产品中Token过期的解决方案，重点介绍微信网页授权的实现方式，并对比其他主流方案。

Token过期问题的挑战

在分布式系统和微服务架构中，Token过期问题尤为突出。以微信为例，其Access Token的有效期仅为2小时，且每天的刷新次数限制为2000次。在高并发场景下，多个服务实例可能同时请求Token，导致频率限制被触发。此外，Token过期会导致用户请求失败，影响用户体验。

OAuth2.0双Token机制原理

OAuth2.0标准提出了一种基于双Token的身份认证机制，有效解决了单Token方案的局限性。这种机制通过两个Token协同工作：

访问Token（Access Token）：短期有效，用于每次请求时验证身份，确保用户认证的实时性。
刷新Token（Refresh Token）：长期有效，用于刷新过期的访问Token，避免频繁登录。

具体流程如下：

用户登录后生成Access Token和Refresh Token，两者都保存在客户端。
客户端在请求头中携带Access Token进行普通路径的方法调用。
当Access Token失效时，客户端使用Refresh Token调用后端的Token刷新接口。
后端验证Refresh Token的有效性，如果有效则生成新的Access Token返回给客户端。
客户端使用新的Access Token重新发起请求。

这种机制既保证了安全性，又提升了用户体验。

微信网页授权的解决方案

微信网页授权采用了一套成熟的双Token方案，具体实现如下：

集中化管理：使用单独的服务或中间件来管理Access Token的获取、刷新和分发，避免各个业务服务直接请求微信接口。
缓存策略：采用Redis等高可用缓存存储Access Token。不同微服务实例通过缓存读取共享的Access Token，减少频繁刷新带来的访问次数限制问题。
自动刷新机制：实现定时任务或延迟刷新机制，在Access Token过期前更新。可以使用Redis的TTL机制或基于时间戳的方式提前检测Token的有效性。
分布式锁：防止多个实例同时刷新Token，采用Redis分布式锁确保在某一时刻只有一个实例负责刷新操作。
容错处理：在Token刷新失败的情况下，为调用方返回预定义的错误或重试机制，增加熔断或限流策略防止异常情况下的过度请求。
日志和监控：针对Access Token的获取、刷新和过期情况，加入日志和监控，便于追踪和及时发现异常。

以下是微信Access Token管理的代码示例：

@Component
public class AccessTokenMaSingleton {

    private static final Logger logger = LoggerFactory.getLogger(AccessTokenMaSingleton.class);

    private WxMaService wxMaService;
    private StringRedisTemplate redisTemplate;
    private RedissonClient redissonClient;

    private static final String ACCESS_TOKEN_KEY = "wechat:access_token";
    private static final String LOCK_KEY = "wechat:access_token_lock";

    @Autowired
    public void setWxMaService(WxMaService wxMaService) {
        this.wxMaService = wxMaService;
    }

    @Autowired
    public void setRedisTemplate(StringRedisTemplate redisTemplate) {
        this.redisTemplate = redisTemplate;
    }

    @Autowired
    public void setRedissonClient(RedissonClient redissonClient) {
        this.redissonClient = redissonClient;
    }

    public String getAccessToken() throws Exception {
        ValueOperations<String, String> ops = redisTemplate.opsForValue();
        String accessToken = ops.get(ACCESS_TOKEN_KEY);
        if (!wxMaService.getWxMaConfig().isAccessTokenExpired()) {
            accessToken = wxMaService.getAccessToken(true);
            ops.set(ACCESS_TOKEN_KEY, accessToken, 110, TimeUnit.MINUTES);
            return accessToken;
        }
        // ... 省略其他代码
    }
}

主流软件的Token过期解决方案对比

除了微信的双Token方案，其他主流软件也采用了类似的策略：

单Token方案：
- 将Token过期时间设置为较短时间（如15分钟）。
- 前端发起请求时，后端验证Token是否过期。
- 如果过期，前端发起刷新Token请求，后端返回新Token。
- 可以设置特定条件（如72小时）强制重新登录。
双Token方案：
- 登录成功后返回Access Token和Refresh Token。
- 使用Access Token请求接口资源，如果过期则使用Refresh Token刷新。
- 后端检查Refresh Token的有效性，如果未过期则生成新的Access Token。
- 客户端退出登录或修改密码后，注销旧的Token。