token

Question

关于 RefreshToken
如果你的场景需要授权给第三方 app，那么通常我们需要再增加一个 RefreshToken 的 API，该 API 的用途是根据现有的Token 获取用户名，然后生成一个新的 Token，这样做的目的是为了防止 Token 失效后退出登录，所以 app一般会在打开时刷新一次 Token，该 API 的实现方法比较简单，所需的技术之前都已经介绍过，大家可以参考之前的文档进行实现

1、老师你能再解释下什么是RefreshToken吗？
2、课程里JWT的有效时间会1小时，假如用户登陆了后台，一直在操作且没重新登陆。是不是意味着到1小时的时候token会失效，需要重新登陆？

Answer 1

提问者 Charles_So_网页开发 2020-03-09 20:58:13

1、所以refreshToken的意义就是，只要用户不退出（从浏览器清除token），用户的token就一直可以延续有效期直到refreshToken失效为止，对吗？

2、在一般的企业管理后台里，不考虑第三方授权登录的话，健全的token机制建议该如何设计？是每次请求都换取一次新Token，还是Token失效后再用refreshToken去领取新Token比较好呢？

Answer 2

Sam 2020-03-09 18:22:41

1、RefreshToken是指在用户原有Token失效时，自动拿原有Token换取一个新Token的过程，大部分第三方授权的互联网应用都是采用这种方案刷新Token的，这个方案的好处是用户无需担心Token过期之后需要重新输入用户名和密码，当然我们前端可以做一个校验，如果用户Token已经过期30天，则直接视为Token作废，需要用户重新输入用户名和密码

2、是的，课程里没有实现RefreshToken，所以1小时后失效并需要重新登录，可以在服务端修改这个时间

• 提问者 Charles_So_网页开发 #1

  1、所以refreshToken的意义就是，只要用户不退出（从浏览器清除token），用户的token就一直可以延续有效期直到refreshToken失效为止，对吗？
  
  2、在一般的企业管理后台里，不考虑第三方授权登录的话，健全的token机制建议该如何设计？是每次请求都换取一次新Token，还是Token失效后再用refreshToken去领取新Token比较好呢？