服务器端 授权key实现的方法

Question

存在session里是个比较好的解决方案，不用返回一个专门的key，就用用户ID就行，登陆成功后，将用户ID存在session里，每次访问时，都去session里看一下用户ID是否存在或匹配。

Answer 1

这样非常容易被攻击，虽然http协议在公网上本身就容易被攻击，但是你这种方案，被攻击的难度太小，比如我只要能截取到你的一个请求，就永远都可以模拟你的身份登录LZ生成token的想法是对的，同时要维护一个token列表，为每一个token加上一个时间限制，超过时间以后要重新登录，或者是用其他的策略来一定程度上让服务器不要那么容易受到攻击

Answer 2

估计你说的客户端是手机吧？每次请求带上授权的key就行了。