我想限制一个用户通过 API 访问其他用户的数据

Question

我已经实现了基于令牌的身份验证和授权。我在会话中存储令牌的值。如果用户获得令牌，如何限制用户访问其他用户的数据。我只在标题中传递令牌。因此，如果用户无论如何都能够获取令牌值，那么他就可以访问任何用户的任何 API。我在 jQuery 中调用 apis。

Answer 1

首先，为什么要在会话中保存令牌的值？这没有任何意义，因为您的授权依赖于会话，而不是依赖于令牌。如果您将密码和用户名交换为令牌，请不要使用会话，因为令牌变得多余 - 您正在通过会话 cookie 授权用户。

另外，这就是令牌的想法 - 只工作一个小时（大多数服务使用这个时间来保证令牌的生命周期）。因此，如果您没有实施 OAuth 身份验证策略，为什么首先要使用令牌？如果你这样做了，为什么要使用会话？我认为您在这里混合了不同的方法。