Cookie跨域背景下Token前后端传递详解

2023-10-31 13:26:50

Token及其前后端交互机制

何为Token？

Token，全称为Access Token（访问令牌），是一种临时凭证，用于识别用户身份。它是对用户进行身份验证后颁发的，在用户登录成功后，服务器会向用户颁发一个Token，并将它返回给客户端。客户端通常将Token存储在Cookie或者localStorage中。当客户端再次向服务器发起请求时，服务器会检查Token的有效性，如果Token有效，则允许客户端访问服务器上的资源。Token具有有效期，超时后会失效。

Token的生成和验证

Token的生成和验证通常使用数字签名算法，如HMAC算法或RSA算法。在生成Token时，服务器会将用户信息、Token的有效期等信息作为明文，使用密钥对明文进行加密，得到加密后的Token字符串。在验证Token时，服务器会使用相同的密钥对Token字符串进行解密，并检查解密后的信息是否与原始用户信息一致。如果一致，则说明Token是有效的；如果不一致，则说明Token是无效的。

Cookie跨域及其解决方案

Cookie的本质及其跨域限制

Cookie是服务器发送给客户端的一小段数据，客户端会将其存储在本地，并在后续的请求中将其发送回服务器。Cookie通常用于存储用户登录信息、购物车信息等数据。

由于浏览器出于安全考虑，存在同源策略限制，即Cookie只能在与设置它的网站的同源域下使用。这意味着，如果客户端向一个跨域的服务器发送请求，浏览器不会自动发送Cookie。

跨域问题的解决方案

跨域问题有几种常见的解决方案：

JSONP（JSON with Padding）
- 原理：允许服务器向客户端返回一段JavaScript代码，该代码可以访问客户端的全局对象，从而可以间接访问客户端的数据。
- 缺点：只能用于GET请求，安全性较差，不支持POST请求。
CORS（Cross-Origin Resource Sharing）
- 原理：允许服务器在响应头中设置CORS首部，告知浏览器可以接受来自其他源的请求。
- 优点：支持所有类型的HTTP请求，安全性较好，缺点是浏览器兼容性较差。
WebSocket
- 原理：使用WebSocket协议建立持久连接，实现跨域通信。
- 优点：双向通信，实时性好，安全性好。
- 缺点：浏览器兼容性较差。
Token