关于userId直接作为token的可行性

Question

我们实现的token是 雪花算法 计算得出的 一个跟数据中心、机器标识、时间戳有关的，具有唯一性的字符串
我们的userId也是雪花算法计算出来的，能否直接使用userId作为token令牌呢？

在网络上查了一圈，感觉比较合理的一个观点是：
userId一般是公开的
大部分网站，通过访问用户信息页面可以在URL或者源代码中找到该用户的userId
（甚至很多数据库的userId是数据库数字自增实现的）
所以，直接用userId来作为token，会提高安全风险

请问老师，还有没有其他更重要的原因呢？

Answer 1

甲蛙 2021-09-20 12:04:15

每个用户userId只会有一个，token要求每次登录都是不一样的，即使是同一个人，这是安全性的考虑。所以不能用userId代替token

• 提问者 慕哥2362883 #1

  非常感谢！