当前位置:Gxlcms > PHP教程 > javascript-小白问题!关于PHP,JS和Token

javascript-小白问题!关于PHP,JS和Token

时间:2021-07-01 10:21:17 帮助过:18人阅读

是这样的,本人想用html/css/js来做一个Android的Hybrid APP,用的是Cordova来包装。
至于Server方面则是PHP。

我想用Token来替代Session来判断用户的登录状态,因为完全就是个小白,第一次接触Token,不清楚流程。
我的问题将(括号)起来

我的设想是这样:

  1. 用户点击登录后,用Ajax发送用户名和密码到Server,判断用户信息无误后php生成一个Token(怎么生成?需要拿用户信息来生成吗?需不需要加密?怎么加密?)。

  2. 然后生成的Token存在数据库,再把Token传回给用户APP(用什么传,JSON安全吗,怎么确保Token不被截取,或截取了也没办法干什么坏事),并储存在APP本地。

  3. 登录后跳转到新的页面,新的页面一开始就会Ajax发送存在本地的用户名和Token,如果Token和数据库的不相同就会被取消登录状态,跳转回登录页面。(Token需不需要一段时间更新一次,还是待到用户下一次登录的时候才更新?如果需要更新,那么推荐的更新间隔时长是多久?)

  4. 用户的每个会与Server进行沟通的操作都要进行Token验证【如第三步】。(需不需要每个操作都验证,这样会不会照常Server和Database的负担,最重要的是用户APP方面效率会不会很差?)

希望有人帮帮我这个小白,网上搜寻了很多都找不到我想要的答案。。。

回复内容:

是这样的,本人想用html/css/js来做一个Android的Hybrid APP,用的是Cordova来包装。
至于Server方面则是PHP。

我想用Token来替代Session来判断用户的登录状态,因为完全就是个小白,第一次接触Token,不清楚流程。
我的问题将(括号)起来

我的设想是这样:

  1. 用户点击登录后,用Ajax发送用户名和密码到Server,判断用户信息无误后php生成一个Token(怎么生成?需要拿用户信息来生成吗?需不需要加密?怎么加密?)。

  2. 然后生成的Token存在数据库,再把Token传回给用户APP(用什么传,JSON安全吗,怎么确保Token不被截取,或截取了也没办法干什么坏事),并储存在APP本地。

  3. 登录后跳转到新的页面,新的页面一开始就会Ajax发送存在本地的用户名和Token,如果Token和数据库的不相同就会被取消登录状态,跳转回登录页面。(Token需不需要一段时间更新一次,还是待到用户下一次登录的时候才更新?如果需要更新,那么推荐的更新间隔时长是多久?)

  4. 用户的每个会与Server进行沟通的操作都要进行Token验证【如第三步】。(需不需要每个操作都验证,这样会不会照常Server和Database的负担,最重要的是用户APP方面效率会不会很差?)

希望有人帮帮我这个小白,网上搜寻了很多都找不到我想要的答案。。。

1,用户登录生成一个唯一值token存入redis数据库(token的生成:可以使用 random_int(), random_bytes(), or openssl_random_pseudo_bytes()函数生成一个随机数加上该用户的ip。如果你希望更安全一点,还可以进行一些变换,具体怎么做你可以看看密码学方面的书籍。);
2,所有网络请求必须使用https,否则token很容易被窃取。(web程序不能保护token,因为web网页的算法会写在js里面,js文件可以被浏览,所以别人浏览js文件就知道了你的算法,即使js被混淆也还是不安全,安卓和ios程序如果被破解算法也会被别人知道,所以最好的方案还是使用https);
3,token必须设置过期时间,这个时间随意,并没有特别的限制,可以让产品人员设定。如果没有人来定,可以使用15分钟;
4,如果需要用户登录才能访问的内容每次请求都必须带上token,并且要进行token验证。(这也是为什么使用redis而不是mysql存储token的原因,提高请求速度);默认php使用文件存储session,每次都要读取文件,其实也会有性能损失,并不一定比读数据库性能会好。所以你不需要担心读数据库导致的性能问题。
5,如果是web网页程序,一般登录后可以把token存储在cookie里面, 同时设置HTTP-Only(表示该cookie值不能被js读取)

你的流程看着我不是很明白。给你一个思路,token的作用在于这是一个不能篡改的字串,篡改后即无效,前端的任何数据都是可以非法篡改的。1:用户登陆后PHP读取用户的token并输出到页面,token一般有用户标识token和用户身份token,当然用一个也可以看你后端token的检验算法。2:前端和后端数据交互时,将数据和token传入后端,token起到用户身份及标识的作用。前端不应该将用户名和密码传入后端。token若发生篡改则检验失败。3:token的生成跟用户信息并不需要有任何关联,token由认意位数的仁意字符串组成,存进数据库中,token的生命周期看你需求,一般生成一次永久使用即可,数据库中的user表中增加token字段用于存储token,或者建立一张表,将user_ID和token关联。

人气教程排行