刷token成千古恨，无感刷新token是净土

前端

2023-10-11 17:55:42

无感刷新token是单点登录系统中的一种身份验证机制，用于在不影响用户操作的情况下刷新访问令牌。它通过在JWT（JSON Web Token）中引入refresh token的方案，能够解决token过期的同时，又不影响用户的操作。

无感刷新token的原理

无感刷新token的原理很简单，就是将refresh token存储在JWT中，并在token过期之前主动刷新token。具体步骤如下：

用户登录系统时，系统会生成一个JWT，其中包含用户身份信息、过期时间和refresh token。
客户端将JWT存储在本地。
当JWT过期时，客户端会自动向服务器发送请求，使用refresh token刷新token。
服务器验证refresh token的有效性，并返回一个新的JWT。
客户端收到新的JWT后，将其存储在本地。

无感刷新token的实现方式

无感刷新token的实现方式有很多种，最常见的是使用HTTP请求头或cookie来传输refresh token。

HTTP请求头

在使用HTTP请求头传输refresh token时，客户端可以在每次请求中将refresh token添加到请求头中。服务器在收到请求后，会验证refresh token的有效性，并返回一个新的JWT。

cookie

在使用cookie传输refresh token时，客户端可以在登录时将refresh token存储在cookie中。服务器在收到请求后，会从cookie中获取refresh token，并验证其有效性。如果refresh token有效，服务器会返回一个新的JWT。

无感刷新token的优势

无感刷新token具有以下优势：

无缝刷新： 无感刷新token可以做到无缝刷新，即在token过期之前主动刷新token，不会影响用户的操作。
安全性高： 无感刷新token是通过在JWT中引入refresh token的方案，具有很高的安全性。
易于实现： 无感刷新token的实现方式很简单，可以很容易地集成到现有的系统中。

无感刷新token的代码示例

以下是一个使用无感刷新token的代码示例：

// 客户端代码
function refreshToken() {
  // 从本地存储中获取refresh token
  const refreshToken = localStorage.getItem('refresh_token');

  // 向服务器发送请求，使用refresh token刷新token
  const response = await fetch('/api/refresh_token', {
    method: 'POST',
    headers: {
      'Content-Type': 'application/json',
    },
    body: JSON.stringify({
      refresh_token: refreshToken,
    }),
  });

  // 解析服务器返回的响应
  const data = await response.json();

  // 将新的JWT存储在本地存储中
  localStorage.setItem('jwt', data.jwt);
}

// 定时任务，每隔一段时间自动刷新token
setInterval(refreshToken, 1000 * 60 * 5); // 每5分钟刷新一次token

// 服务端代码
// 刷新token的路由处理函数
app.post('/api/refresh_token', async (req, res) => {
  // 从请求体中获取refresh token
  const refreshToken = req.body.refresh_token;

  // 验证refresh token的有效性
  const isValid = await verifyRefreshToken(refreshToken);

  // 如果refresh token有效，则生成一个新的JWT
  if (isValid) {
    const jwt = generateJWT({
      username: 'username', // 替换为实际的用户名
      role: 'admin', // 替换为实际的角色
    });

    // 将新的JWT返回给客户端
    res.json({
      jwt,
    });
  } else {
    // 如果refresh token无效，则返回错误信息
    res.status(401).json({
      error: 'Invalid refresh token',
    });
  }
});