如何防止别人拿到这个token

Question

这个令牌相当于用户的通行证，为了防止别人拿到，或者即使拿到也尽量降低危害，一般还需要怎么处理？

Answer 1

若鱼1919 2017-12-29 13:27:38

token加一个创建时间，设置一个固定的时间间隔比如：12小时。如果当前时间-创建时间>12小时，则强制token失效，用户必须再次登录获取新token。防止token泄露以后，一直都可用。

• 提问者 zjg23 #1

  假设token的时效为12小时，那这12小时内怎么保证这个token不被别人获取到呢？https能保证么？

• 若鱼1919 回复 提问者 zjg23 #2

  https是可以的。因为现在token是存放在Cookie中的，需要给Cookie设置secure属性，保证只在Https下可用，这样是可以的。