token认证方案的疑问

提问：

网上有一种token认证方案，为了避免token被截获，会在请求时使用(userid+token+时间戳+密钥+请求参数)进行签名。请问这里的密钥是否也要随token一起颁发给用户？

解答：

Redis Skill - 高性能缓存管理

Redis 缓存和数据结构管理技能。通过自然语言操作 Redis，支持 String、Hash、List、Set、ZSet、Stream 等数据结构操作。当用户提到 Redis、缓存、消息队列、会话存储时使用此技能。

下载

JWT虽然无法控制失效，但可以配合Redis实现Token黑名单机制弥补。

避免token被截取的方法：

• 通过HTTPS传送token，防止明文传输。
• 禁用客户端Cookie，防止XSS攻击通过浏览器获取token。
• 使用CSP(内容安全策略)控制加载的第三方资源。

关于自定义签名方案：

• 移动端需要始终携带密钥，存在被获取的风险。
• 防止密钥泄露是关键。
• 实践中发现，该方案意义不大。
• 推荐使用最简单的HTTPS进行保护。