简单易懂！无感刷新refreshToken的概念和实例详解

2023-02-20 12:58:28

无感刷新：让用户无缝登录的秘密武器

无感刷新

在现代网络应用中，用户认证至关重要。传统的方法，如会话 + cookie，虽然简单易用，但存在安全隐患和性能问题。无感刷新应运而生，解决了这些痛点。

什么是无感刷新？

无感刷新是一种特殊的 token，在用户登录后生成，存储在客户端（如浏览器或移动设备）。每次用户访问应用时，客户端自动将此 token 发送给服务器。服务器验证 token 的有效性后，返回新的访问令牌（accessToken），实现无感刷新，无需重新登录。

为什么要使用无感刷新？

增强安全性： 无感刷新减少了存储在客户端的敏感信息，降低了被攻击者窃取或劫持的风险。
提高性能： 无感刷新避免了频繁的登录请求，提高了应用的性能和用户体验。
简化用户操作： 无感刷新免除了用户重复登录的麻烦，带来更流畅的使用体验。

如何实现无感刷新？

前端实现：

登录后存储无感刷新 token。
每次访问时发送无感刷新 token 给服务器。
服务器验证 token 有效性。
如果有效，返回新的访问令牌。
如果无效，要求重新登录。

后端实现：

创建无感刷新 token 并存储在数据库。
验证无感刷新 token 的有效性。
如果有效，返回新的访问令牌。
如果无效，要求重新登录。

示例代码：

前端示例：

// 存储无感刷新 token
localStorage.setItem('refreshToken', refreshToken);

// 每次访问时发送无感刷新 token 给服务器
fetch('/api/refresh-token', {
  method: 'POST',
  headers: {
    'Content-Type': 'application/json'
  },
  body: JSON.stringify({
    refreshToken: localStorage.getItem('refreshToken')
  })
})
.then(res => res.json())
.then(data => {
  // 存储新的访问令牌
  localStorage.setItem('accessToken', data.accessToken);
})
.catch(err => {
  // 处理错误
});

后端示例：

// 验证无感刷新 token 的有效性
$refreshToken = $_POST['refreshToken'];
$refreshToken = $refreshTokenRepository->findByToken($refreshToken);
if (!$refreshToken || $refreshToken->isExpired()) {
  // 无感刷新 token 无效，要求重新登录
  return response()->json(['error' => 'Invalid refreshToken'], 401);
}

// 返回新的访问令牌
$accessToken = $accessTokenRepository->create($refreshToken->getUserId());
return response()->json(['accessToken' => $accessToken]);