究竟什么是token？工作原理是什么 token是平台的功能，还是一种解决方案具体如何使用？

迷南。 2022-05-18 08:37 252阅读 0赞

*  究竟什么是token？工作原理是什么
 *  token是平台的功能，还是一种解决方案
 *  具体如何使用？

最近纠结了好久这个问题，因为移动端和服务器的互联，导致登录的时候出现了很多的问题，绝大部分转自别人之手，希望可以给大家带来帮助。

'token' 是一个单词 ……

好吧，其实你应该问的是“CSRF”的原理与防范，这个你可以自己去找相关资源。

简单来说，考虑一种简单情况，你登录了 A 站，然后我给你发了一个网址 ，你点击之后，进入了这个 B 站的某个页面。

这个页面会干一个坏事，它直接发了一个“修改密码”的请求到 A 站。因为这时，在当前浏览器，你在 A 站是已登录状态，所以，这个从 B 站页面出去的请求会带上相关 cookie ，并且成功修改掉你的密码。这个就叫 CSRF ，跨域请求伪造。

那么怎么防范这类伪造请求呢？

Token， Referer 检查，验证码 等都是办法，Referer 检查会有一些问题，比如配合 XSS 它就没用了，头被修改了等。

Token 和 验证码的方式本质上是一样的，但是验证码还要让用户确认一下，在大多数场景下不适合（修改密码还可以让用户输入验证码，你不能做成提交任何一个表单都让用户填验证码吧）。

上面说的“本质”，就是指服务端要防 CSRF ，就需要验证一个 B 站不可能知道，只有 A 站知道的信息。（验证码当然算一个）， token 就是 B 站不知道，而 A 站知道的信息。

好吧，到这里，如果你有点基础，可能会想到，那我在 session 中存一个 token ，然后渲染模板时放到页面中，没问题，这样是可行的。但是太麻烦。

简单的方法，其实只需要在响应时把 token 的值随便写到一个 cookie 就好了，同时页面上也放一个。这样，如果你本来就是 A 站页面，请求时自然可以带上正确的 token ，非 A 站页面，它是拿不到这个值的（B 站的一个页肯定不能在浏览器中拿到 A 站的 cookie 啊）。

服务器在验证请求时，只需要拿请求数据和 cookie 数据作一下比对即可，连后端的持久化存储都不需要用到。

## （此部分引自[https://segmentfault.com/q/1010000010735317][https_segmentfault.com_q_1010000010735317]） ##

[https_segmentfault.com_q_1010000010735317]: https://segmentfault.com/q/1010000010735317

发表评论取消回复

表情：

评论列表（有 0 条评论，252人围观）

还没有评论，来说两句吧...

相关阅读

相关什么是Token？常见的token类型

Token的引入：Token是在客户端频繁向服务端请求数据，服务端频繁的去数据库查询用户名和密码并进行对比，判断用户名和密码正确与否，并作出相应提示，在这样的背景下，To

墨蓝/ 2024年02月17日 12:24/ 0 赞/ 64 阅读

相关 token是什么意思

token是计算机术语：令牌，令牌是一种能够控制站点占有媒体的特殊帧，以区别数据帧及其他控制帧。token其实说的更通俗点可以叫暗号，在一些数据传输之前，要先进行暗号的核对，不

蔚落/ 2023年11月05日 00:52/ 0 赞/ 155 阅读

相关什么是token

对于初学者来说，对Token和Session的使用难免会限于困境，开发过程中知道有这个东西，但却不知道为什么要用他？更不知道其原理，今天我就带大家一起分析分析这东西。

墨蓝/ 2023年07月17日 04:53/ 0 赞/ 3 阅读

相关什么是token

对于初学者来说，对Token和Session的使用难免会限于困境，开发过程中知道有这个东西，但却不知道为什么要用他？更不知道其原理，今天我就带大家一起分析分析这东西。

╰+攻爆jí腚メ/ 2023年01月13日 11:00/ 0 赞/ 165 阅读

相关什么是 Refresh Token

什么是 Refresh Token AccessToken 和 IdToken 是 JSON Web Token (opens new window)，有效时间通常

本是古典何须时尚/ 2022年09月12日 01:48/ 0 赞/ 253 阅读

相关什么是 Access Token

什么是 Access Token Opaque Access Token JWT Access Token Access Toke

分手后的思念是犯贱/ 2022年09月12日 00:59/ 0 赞/ 482 阅读

相关什么是 ID Token

什么是 ID Token ID Token 完整字段含义 OIDC (OpenID Connect) 协议 (opens new window)对 O

迷南。/ 2022年09月11日 15:15/ 0 赞/ 225 阅读

相关什么是 JWT Token

什么是 JWT Token JWT 简介认证流程用户认证的流程安全限制客户端附带 JWT

末蓝、/ 2022年09月11日 15:14/ 0 赞/ 353 阅读

相关究竟什么是token？工作原理是什么 token是平台的功能，还是一种解决方案具体如何使用？

究竟什么是token？工作原理是什么 token是平台的功能，还是一种解决方案具体如何使用？最近纠结了好久这个问题，因为移动端和服务器的互联，导致登录的

迷南。/ 2022年05月18日 08:37/ 0 赞/ 253 阅读

相关究竟什么是token？？

基于服务器验证方式的验证流程：我们都是知道HTTP协议是无状态的，这种无状态意味着程序需要验证每一次请求，从而辨别客户端的身份。在这之前，程序都是通过在服务端存储的登录

妖狐艹你老母/ 2022年02月18日 09:27/ 0 赞/ 474 阅读