前后端分离安全问题？
1、请求后端生成Token我们如何确保安全性？ 2、如何确保Token的有效性？如：Token在失效前处于下单状态，我们如何保证在失效前确保下单成功？ 3、如何销毁Token？
8 回复
- 后端生成的token，是经过加密签发的。如果用户把token泄漏了，那就没安全性可言. 除非做一些安全监控. 这个这个token之前是哪个浏览器，哪个IP请求的…现在突然间换了…这些都可以是安全的方面。需要一个比较完整的方案, 例如用户只是切换了WIFI，IP变了而已，你就禁止使用这个TOKEN那就尴尬了…
像JWT的token，是无法篡改的，所以不怕攻击者改token，怕的就是用户泄漏token。所以又回到了常规的安全问题，比如禁止加载白名单外的js，启用https等等…
安全永远像爬虫攻防，没有尽头…
-
Token 有效性，JWT的token是带有过期时间的，服务端每一检查token的时候，都会做过期过期。如果token是存储的服务端，那么存储在redis，设置过期时间就好了.
-
如何销毁? 存储的服务端的，就删除掉。如果是JWT，客户端自维护
