令牌身份驗證和註銷功能

Question

在非常基本的令牌身份驗證中，登錄過程只是提供憑據並獲取令牌。使用RESTful API，令牌包含在標頭中用於任何API調用，以暗示用戶已登錄。

我的問題是，註銷過程是什麼樣子？

• 在服務器端刪除令牌？如果用戶要從網站註銷但希望保持登錄狀態，該怎麼辦？
• 從客戶端刪除令牌？服務器不應該強制執行嗎？
• 服務器應該如何使令牌無效？

註銷機制是如何實現的？

Answer 1

我認爲註銷操作只是使服務器端的令牌無效（在數據庫中將其刪除，將標誌過期設置爲false，...）。如果您想支持多種REST客戶端，則應該能夠指定要獲取安全令牌的設備。在這種情況下，您將能夠分別使其失效。

要提供設備種類，您可以標頭user-agent或提供您自己的標題。

也許這個鏈接可以幫助您設計令牌管理：http://templth.wordpress.com/2015/01/05/implementing-authentication-with-tokens-for-restful-applications/。

您談到了Web模式。對於這個用例（這是有點特別的，因爲瀏覽器隱含地爲你保存了令牌），我想你會使用cookies。所以是的，對於這種特定的用例，相應的cookie也必須失效。

希望它有幫助。 Thierry