基于 Web API 令牌的身份验证

Question

我正在使用 Web API 和 Angular 开发一个 SPA 应用程序，并使用基于承载令牌的身份验证进行身份验证和授权。

我的问题： 基本上，我们将从 web api 获取令牌并将该令牌存储在本地/会话存储中，对于后续请求，我们使用此令牌并通过 HTTP Header 传递给每个请求。这意味着服务器对特定令牌/会话以及谁将发送该请求一无所知。这里我的问题是服务器如何识别来自哪个用户的令牌以及它如何检查它是否是有效的令牌。

Answer 1

通常，颁发令牌的服务器会跟踪它是发给哪个用户的，因此会假设使用该令牌发送的任何请求都来自同一用户。大多数时间令牌也有一个有效期，一旦过了这个期限就会过期。这些信息大部分时间都存储在数据库中。

您应该查看oauth 文档以获取有关此问题的更多信息。

无论如何，HTTP 并不是真正的无状态，请参阅SO post 了解更多信息。