登录、刷新、注销与令牌生命周期
RESTful API、JWT 与权限认证#Python全栈#第十三阶段#RESTful API、JWT 与权限认证#登录、刷新、注销与令牌生命周期约 709 字 · 2 分钟阅读
追问显示点击任意追问卡片可收起 / 展开
密码登录接口的请求格式和响应应如何设计？
追问 OAuth2 password 表单与 JSON 登录体有什么区别？用户名不存在和密码错误是否需要统一对外反馈？
登录成功后，服务端应把哪些信息写入访问令牌？
追问 sub、scope、版本号和租户标识怎样选择？为什么不应把当前所有权限永久复制到长寿命令牌？
访问令牌的过期时间如何确定？
追问 时间越长和越短分别增加什么成本？时钟偏差、leeway 与客户端提前刷新怎样协调？
刷新令牌轮换是什么，为什么可以降低重放风险？
追问 旧刷新令牌被再次使用时如何发现并处理？令牌家族、撤销记录和并发刷新怎样设计？
注销 JWT 用户为什么不能只删除浏览器变量？
追问 已签发的无状态访问令牌在过期前仍可能有效，服务端如何实现撤销版本、黑名单或缩短有效期？
密码修改或重置后，如何处理已有会话？
追问 用户版本号、会话列表和刷新令牌撤销分别怎样影响已登录设备？为什么只修改数据库密码不会自动让 JWT 失效？
浏览器保存访问与刷新令牌有哪些常见方式？
追问 内存、Local Storage、HttpOnly Cookie 和安全的服务端会话分别如何面对 XSS、CSRF、刷新和多标签页需求？
Cookie 方案与 Authorization 头方案怎样选择？
追问 自动携带、跨站请求、CSRF、前后端域名和移动客户端分别带来什么取舍？不能把一种方式绝对化的原因是什么？
刷新请求并发时可能发生什么竞态？
追问 两个请求同时使用同一刷新令牌，轮换后一个成功一个失败如何改善用户体验并保持安全？
身份服务不可用时，资源服务应怎样处理过期或无法验证的令牌？
追问 本地验签、公钥缓存、远程 introspection 和故障开放/关闭分别有什么风险？