直接用userId做token是否安全

Question

老师，直接用userId做token是否，不安全, 容易被截获仿冒，如果把userId放在token的redis值中，每次读写token得值得出user信息，不是更安全一些吗。还有就是，所有请求都返回200，似乎明显不符合api规范。老师，你怎么保证token安全，还有像微信那样的app永久在线呢。

Answer 1

风间影月 2019-05-05 16:16:18

微信在线那是长连接，有状态维护的，这http完全不是同一个协议。 token必须加密，不得使用userid

• 提问者 蓝色西西 #1

  老师，用什么做token好，怎么在api中鉴别用户身份信息。怎么加密token, token的redis值中放什么信息好。
  
  如何几分钟变换一次token,然后把token自动写到客户端，实现安全。

• 风间影月 回复 提问者 蓝色西西 #2

  目前课程里使用到的token是uuid的，当然根据自己的需求可以做更安全的加密都是可以的。
  这些都是涉及到权限了，推荐可以看一下慕课网的安全框架课程噢～

• 提问者 蓝色西西 回复 风间影月 #3

  老师，其实我是想问，很多APP一次打开，就可以长期在线了，他们是如何实现的。你能不能升级一下你这门课程，把安全token，长期不用重新登陆的安全token讲一下。你说的什么安全框架。和springboot有关吗。

点开查看后面3条评论