我在我的 android 应用程序中使用 OkHttp 并带有几个异步请求。所有请求都需要与标头一起发送令牌。有时我需要使用 RefreshToken 刷新令牌，所以我决定使用 OkHttp 的 Authenticator 类。
当 2 个或多个异步请求同时从服务器获得 401 响应码时会发生什么？ Authenticator 的authenticate() 方法会为每个请求调用，还是只会为第一个获得 401 的请求调用一次？
@Override
public Request authenticate(Proxy proxy, Response response) throws IOException
{
return null;
}
如何只刷新一次token？
【问题讨论】：
标签： android multithreading authentication okhttp
使用单例Authenticator
确保您用来操作令牌的方法是Synchronized
计算重试次数，防止刷新次数过多 令牌调用
这是 Kotlin 中的示例
@SingleTon
class TokenAuthenticator @Inject constructor(
private val tokenRepository: TokenRepository
) : Authenticator {
override fun authenticate(route: Route?, response: Response): Request? {
return if (isRequestRequiresAuth(response)) {
val request = response.request()
authenticateRequestUsingFreshAccessToken(request, retryCount(request) + 1)
} else {
null
}
}
private fun retryCount(request: Request): Int =
request.header("RetryCount")?.toInt() ?: 0
@Synchronized
private fun authenticateRequestUsingFreshAccessToken(
request: Request,
retryCount: Int
): Request? {
if (retryCount > 2) return null
tokenRepository.getAccessToken()?.let { lastSavedAccessToken ->
val accessTokenOfRequest = request.header("Authorization") // Some string manipulation needed here to get the token if you have a Bearer token
if (accessTokenOfRequest != lastSavedAccessToken) {
return getNewRequest(request, retryCount, lastSavedAccessToken)
}
}
tokenRepository.getFreshAccessToken()?.let { freshAccessToken ->
return getNewRequest(request, retryCount, freshAccessToken)
}
return null
}
private fun getNewRequest(request: Request, retryCount: Int, accessToken: String): Request {
return request.newBuilder()
.header("Authorization", "Bearer " + accessToken)
.header("RetryCount", "$retryCount")
.build()
}
private fun isRequestRequiresAuth(response: Response): Boolean {
val header = response.request().header("Authorization")
return header != null && header.startsWith("Bearer ")
}
}
【讨论】：
authenticate，然后您在 isRequestRequiresAuth 中测试 Authorization 标头，如果没有则返回 null。因此，如果原始请求还没有 Authorization 标头，您会中止请求吗？
根据您调用的 API 的工作原理，我在这里看到了两种情况。
第一个肯定更容易处理 - 调用新凭据（例如访问令牌）不会使旧凭据过期。要实现它，您可以在凭据中添加一个额外的标志，表示正在刷新凭据。当您收到 401 响应时，您将 flag 设置为 true，请求获取新凭据，并且仅当 flag 等于 true 时才保存它们，因此只会处理第一个响应，其余的将被忽略。确保您对标志的访问是同步的。
另一种情况有点棘手 - 每次调用新凭据时，旧凭据都会被服务器端设置为过期。为了处理它，我将引入新对象用作信号前 - 每次“刷新凭据”时它都会被阻止。为确保您只进行一次“刷新凭据”调用，您需要在与标志同步的代码块中调用它。它可以看起来像这样：
synchronized(stateObject) {
if(!stateObject.isBeingRefreshed) return;
Response response = client.execute(request);
apiClient.setCredentials(response.getNewCredentials());
stateObject.isBeingRefreshed = false;
}
正如您所注意到的，有一个额外的检查 if(!stateObject.isBeingRefreshed) return; 以通过遵循收到 401 响应的请求来取消请求新凭据。
【讨论】：
这是我的解决方案，确保在多线程情况下只刷新一次令牌，使用okhttp3.Authenticator：
class Reauthenticator : Authenticator {
override fun authenticate(route: Route?, response: Response?): Request? {
if (response == null) return null
val originalRequest = response.request()
if (originalRequest.header("Authorization") != null) return null // Already failed to authenticate
if (!isTokenValid()) { // Check if token is saved locally
synchronized(this) {
if (!isTokenValid()) { // Double check if another thread already saved a token locally
val jwt = retrieveToken() // HTTP call to get token
saveToken(jwt)
}
}
}
return originalRequest.newBuilder()
.header("Authorization", getToken())
.build()
}
}
您甚至可以为此案例编写单元测试！ ?
【讨论】：
isTokenValid()有什么作用？每次都会访问服务器以检查令牌是否仍然有效？
在我的例子中，我使用单例模式实现了Authenticator。您可以同步该方法authenticate。在他的实现中，我检查请求中的令牌（从在 authenticate 方法的参数中收到的 Response 对象获取 Request 对象）是否与保存在设备中的相同（我将令牌保存在 @987654325 @ 目的）。
如果token相同，说明还没有刷新，所以我再次执行token刷新和当前请求。
如果token不一样，说明之前刷新过，所以我再次执行请求，但使用设备中保存的token。
如果您需要更多帮助，请告诉我，我会在这里放一些代码。
【讨论】：
将同步添加到 authenticate() 方法签名中。
并确保 getToken() 方法被阻塞。
@Nullable
@Override
public synchronized Request authenticate(Route route, Response response) {
String newAccessToken = getToken();
return response.request().newBuilder()
.header("Authorization", "Bearer " + newAccessToken)
.build();
}
【讨论】：
确保使用单例自定义身份验证器 使用新令牌刷新令牌成功返回请求时，否则返回null。
class TokenAuthenticator(
private val sharedPref: SharedPref,
private val tokenRefreshApi: TokenRefreshApi
) ：身份验证器， SafeApiCall {
override fun authenticate(route: Route?, response: Response): Request? {
return runBlocking {
when (val tokenResponse = getUpdatedToken()) {
is Resource.Success -> {
val token = tokenResponse.data.token
sharedPref.saveToken(token)
response.request.newBuilder().header("Authorization", "Bearer $token").build()
}
else -> {
null
}
}
}
}
private suspend fun getUpdatedToken(): Resource<LoginResponse> {
return safeApiCall { tokenRefreshApi.refreshToken("Bearer ${sharedPref.getToken()}") }
}
}
【讨论】：