我正在通过 Spring MVC 中的 Web 服务开发 API。用户必须进行身份验证，并在客户端浏览器中设置 cookie。现在这个 API 将不在同一个域上，所以我需要一种方法来知道客户端上的会话何时超时，因为他们将在登录后发出 API 请求。什么是最好的安全方法？将信息存储在会话、缓存、数据库中以与服务器上的请求 cookie 进行比较？
【问题讨论】：
标签： web-services api session cookies spring-security
在我的例子中，我为成功通过身份验证的用户生成了一个唯一的身份验证令牌。每次用户需要调用任何 Web 服务时，他们都需要传递身份验证令牌。
我的身份验证令牌已生成，如下所示：-
Date creationDate = new Date();
String key = UUID.randomUUID().toString().toUpperCase() + "|" + userName + "|" + creationDate.getTime();
String authenticationToken = ... // encrypt key with Jasypt
我附加了创建日期，因为它允许我检查生存时间。每次用户调用任何 Web 服务时，我都会使用创建日期检查空闲持续时间。如果空闲时间少于 30 分钟，我将空闲时间重置为零并允许用户执行 Web 服务。但是，如果用户闲置超过 30 分钟，我认为身份验证令牌无效，他们必须重新进行身份验证才能获取新令牌。
【讨论】：
static map 效果不佳。这是一个非常简单的数据库表，其中包含身份验证令牌、用户名、创建日期、上次访问日期和总访问次数（用于审计目的）。