测试开发面试题：用户认证token的机制和详细原理

原创 于 2025-03-04 14:59:41 发布 · 1k 阅读 · 31 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#Token #测试工具 #深度学习 #软件测试 #职场经验 #学习 #求职

📝 面试求职： 「面试试题小程序」 ，内容涵盖 测试基础、Linux操作系统、MySQL数据库、Web功能测试、接口测试、APPium移动端测试、Python知识、Selenium自动化测试相关、性能测试、性能测试、计算机网络知识、Jmeter、HR面试，命中率杠杠的。（大家刷起来…）

📝 职场经验干货：

软件测试工程师简历上如何编写个人信息（一周8个面试）

软件测试工程师简历上如何编写专业技能（一周8个面试）

软件测试工程师简历上如何编写项目经验（一周8个面试）

软件测试工程师简历上如何编写个人荣誉（一周8个面试）

软件测试行情分享（这些都不了解就别贸然冲了.）

软件测试面试重点，搞清楚这些轻松拿到年薪30W+

软件测试面试刷题小程序免费使用（永久使用）

Token 是一种用于身份认证的机制。它通常是一个字符串，包含用户的认证信息（可能是加密的），在用户登录后由服务器生成并返回给客户端。客户端在后续的请求中将 Token 附带在请求头或其他位置，服务器通过验证 Token 来确认用户身份。

Token 的使用原理和机制

  1. 登录与生成 Token:

    • 用户通过用户名和密码向服务器发起登录请求。

    • 服务器验证用户身份后，生成一个 Token，并将其返回给客户端。

    • Token 通常包含用户 ID、角色、权限等信息，并使用加密算法进行签名（如 HMAC 或 RSA）。

  2. 客户端携带 Token:

    • 客户端将 Token 保存下来（如存储在浏览器的 localStorage、sessionStorage 或 Cookie 中）。

    • 在后续请求中，客户端将 Token 放在请求头（通常是 Authorization: Bearer <token>）中发送给服务器。

  3. 服务器验证 Token:

    • 服务器接收到请求后，解析并验证 Token 的有效性（如检查签名是否正确、是否过期）。

    • 如果 Token 有效，服务器允许访问资源；否则返回错误（如 401 Unauthorized）。

  4. Token 续期:

    • Token 通常设置过期时间（如 1 小时）。

    • 为了保持会话，客户端需要在 Token 过期前向服务器请求新的 Token（称为刷新 Token）。

    • 刷新机制通常依赖于一个长期有效的 Refresh Token。

Token 的优点和缺点

优点
  1. 无状态性:

    • Token 是无状态的，服务器不需要存储用户会话信息，适合分布式架构。

  2. 跨平台支持:

    • Token 可以在不同的客户端（如 Web、移动端）中使用。

  3. 灵活性:

    • 可以包含用户的角色、权限等信息，便于权限管理。

  4. 安全性:

    • 使用 HTTPS 和加密签名，可以有效防止篡改和窃取。

缺点
  1. 过期问题:

    • Token 有固定的过期时间，过期后需要重新获取，可能导致用户体验不佳。

  2. 刷新机制复杂:

    • 需要额外设计 Refresh Token 和续期逻辑，增加系统复杂性。

  3. Token 泄露风险:

    • 如果 Token 被窃取，攻击者可以冒充用户，造成安全问题。

  4. Token 长度问题:

    • Token 通常较长，会增加请求的大小，可能对性能造成一定影响。

需要注意的事项

  1. 使用 HTTPS:

    • 确保所有通信通过 HTTPS 加密，防止 Token 被窃听。

  2. 设置合理的过期时间:

    • 短期 Token（如 1 小时）和长期 Refresh Token（如 7 天）结合使用。

  3. Token 存储位置:

    • 避免将 Token 存储在易受攻击的位置（如 localStorage，建议使用 HttpOnly Cookie）。

  4. 刷新机制:

    • 设计 Refresh Token 和短期 Token 的续期逻辑，确保用户体验。

  5. Token 黑名单:

    • 如果用户登出或 Token 泄露，可以将 Token 加入黑名单，防止滥用。

Python 实现示例

以下是一个基于 Python 的简单 Token 认证示例，使用了 jwt（JSON Web Token）库。

安装依赖：

pip install pyjwt flask

使用python的flask框架实现 token 示例代码：

import jwt  
import datetime  
from flask import Flask, request, jsonify  
app = Flask(__name__)  
# Secret key for signing tokens  
SECRET_KEY = "your_secret_key"  
# Generate a token  
def generate_token(user_id):  
    payload = {  
        "user_id": user_id,  
        "exp": datetime.datetime.utcnow() + datetime.timedelta(hours=1),  # Token expiration time (1 hour)  
        "iat": datetime.datetime.utcnow()  # Token issue time  
    }  
    token = jwt.encode(payload, SECRET_KEY, algorithm="HS256")  
    return token  
# Verify a token  
def verify_token(token):  
    try:  
        payload = jwt.decode(token, SECRET_KEY, algorithms=["HS256"])  
        return payload  
    except jwt.ExpiredSignatureError:  
        return {"error": "Token expired"}  
    except jwt.InvalidTokenError:  
        return {"error": "Invalid token"}  
# Login route  
@app.route("/login", methods=["POST"])  
def login():  
    data = request.json  
    username = data.get("username")  
    password = data.get("password")  
    # Dummy user validation  
    if username == "admin" and password == "password":  
        token = generate_token(user_id=1)  
        return jsonify({"token": token})  
    else:  
        return jsonify({"error": "Invalid credentials"}), 401  
# Protected route  
@app.route("/protected", methods=["GET"])  
def protected():  
    token = request.headers.get("Authorization")  
    if not token:  
        return jsonify({"error": "Token is missing"}), 401  
    # Remove "Bearer " prefix if present  
    token = token.replace("Bearer ", "")  
    # Verify token  
    result = verify_token(token)  
    if "error" in result:  
        return jsonify(result), 401  
    return jsonify({"message": "Welcome!", "user_id": result["user_id"]})  
if __name__ == "__main__":  
    app.run(debug=True)  

代码说明

  1. 生成 Token:

    • 使用 jwt.encode 创建 Token，包含 user_id 和过期时间 (exp)。

  2. 验证 Token:

    • 使用 jwt.decode 验证 Token 的有效性。

    • 如果 Token 过期或无效，会返回相应的错误信息。

  3. 登录接口:

    • 验证用户名和密码后，生成 Token 并返回给客户端。

  4. 受保护接口:

    • 需要客户端在请求头中携带 Token，服务器验证后允许访问。

处理 Token 续期

  1. Refresh Token 概念:

    • 除了短期 Token，还需要一个长期有效的 Refresh Token。

    • 当短期 Token 即将过期时，客户端用 Refresh Token 请求新的短期 Token。

  2. 网络抖动导致续期失败:

    • 客户端可以在短期 Token 过期后，尝试用 Refresh Token 再次获取新 Token。

    • 如果 Refresh Token 也失效，用户需要重新登录。

示例：刷新 Token 的逻辑​​​​​​​
@app.route("/refresh", methods=["POST"])  
def refresh_token():  
    refresh_token = request.json.get("refresh_token")  

    # Dummy validation for Refresh Token  
    if refresh_token == "valid_refresh_token":  
        new_token = generate_token(user_id=1)  
        return jsonify({"token": new_token})  
    else:  
        return jsonify({"error": "Invalid refresh token"}), 401

通过以上示例，你可以理解 Token 的工作原理，并根据实际需求设计更复杂的认证机制（如加入角色权限管理、黑名单等）。

最后： 下方这份完整的软件测试视频教程已经整理上传完成，需要的朋友们可以自行领取【保证100%免费】
在这里插入图片描述​​
在这里插入图片描述​​

JavaWeb 开发面试题及参考答案
大模型大数据攻城狮的专栏
11-18 1107
什么是 JavaWeb 开发？ JavaWeb 开发是使用 Java 技术来构建基于 Web 的应用程序。它涵盖了多个方面，包括前端页面展示和后端业务逻辑处理。 从前端角度来看，JavaWeb 可以结合 HTML（超文本标记语言）、CSS（层叠样式表）和 JavaScript 等技术来创建用户界面。HTML 用于构建页面的基本结构，CSS 用于美化页面的样式，JavaScript 用于实现页面的交互功能，比如表单验证、动画效果等。 在后端，JavaWeb 开发主要依赖于各种框架和技术。它可
网易和腾讯面试题精选---API 设计和开发面试问答
网易搬砖头
02-04 1237
无论您是经验丰富的 API 开发人员还是准备面试的候选人，掌握 API 设计的复杂性都是至关重要的。随着技术的不断进步，精心设计的 API 的重要性也在不断提高。HATEOAS（超媒体作为应用程序状态引擎）是 RESTful API 设计中的一个约束，其中服务器的响应包含超媒体链接，指导客户端执行可能的操作或转换到其他应用程序状态。API 应返回适当的HTTP 状态代码（例如，400 表示客户端错误，404 表示未找到，500 表示服务器错误），并在响应正文中包含详细的错误消息。
Token鉴权机制
热门推荐
kongtiao5的专栏
09-29 1万+
1、用户注册/添加用户，两个参数：userId、password  2、用户登录，登录校验userId和password 是否正确，正确根据userId、password 、时间戳，用MD5不可逆算法生成token。      将userId、token、超时时间存到数据库中，可以存在redis中，并将token返回给客户端。 3、前台在超时时间内再次请求带上userId和token即可进行...
Token鉴权
maoyudashen的博客
07-29 1188
需要注意的是，在实际应用中，为了增强安全性，Token通常会设置过期时间，并采用加密算法对Token进行签名和验证。常见的Token类型有两种：基于Session的Token和基于JSON Web Token (JWT)的Token。5. 服务端接收到请求后，根据携带的Session ID进行验证，如果验证通过，则允许客户端访问相应资源。5. 服务端接收到请求后，对Token进行解析和验证，如果验证通过，则允许客户端访问相应资源。6. 服务端对Token进行验证，验证通过后允许客户端访问相应资源。
【鉴权】深入解析 Token：身份认证的核心技术
最新发布
人生苦短，睡觉要紧，睡醒再说
11-09 6496
Token（令牌）是一个用于身份认证的凭证，通常是由服务器生成并返回给客户端。客户端在后续请求中携带该 Token，服务器通过解析 Token 验证用户身份，从而决定是否授权访问资源。Token 的一个显著特点是其无状态性，这意味着服务器不需要存储关于用户会话的数据，而是通过解析客户端携带的 Token 来获取所有的身份信息。Token 认证是现代 Web 和移动应用中最常见的身份验证方式之一。
我的token鉴权机制hanhan
hanpenghu的博客
10-25 401
   
最强面试题整理第三弹：Python 后台开发面试题（附答案）
Rocky0429
08-18 8242
大家好呀，我是 Rocky0429。 Python 面试的时候，会涉及到很多的八股文，我结合自己的经验，整理Python 最强面试题。 Python 最强面试题主要包括以下几方面： Python 基础（已完成） Python 进阶（已完成） Python 后台开发 爬虫 机器学习 对每道面试题会附带详细的答案，无论是准备面试还是自己学习，这份面试题绝对值得你去看，去学习。 Flask 1、Flask 中请求上下文和应用上下文的区别和作用？ current_app、g 是应用上下文。 request、s
【面试】测试开发面试题
scsery的博客
01-27 1144
面试题总结
【字节面试题精讲】消息中间件原理、协程、业务幂等性、分布式锁原理
AI天才研究院
10-10 800
通过这些方法和最佳实践，可以有效地实现可靠的消息处理，确保每条消息至少被处理一次，同时处理可能的重复消费情况。然而，需要注意的是，虽然持久化是必要的，但它并不是实现 “at least once” 的唯一步骤。消息持久化是实现 “at least once” 消费模式的关键步骤，因为它提供了一个可靠的基础，确保消息在被成功处理之前不会丢失。当然，我可以为您提供一个详细的对比表格，展示创建线程和协程的过程和原理。通过综合运用这些方法和最佳实践，可以有效地实现业务的幂等性，提高系统的可靠性和一致性。
基于Token的身份验证的原理
骏马逸动，心随你动的博客
07-01 1477
目录 1 发展史 2 Cookie 3 Session 3.1cookie和session的区别 4 Token 4.1 传统方式——基于服务器的验证 4.2 基于服务器验证方式暴露的一些问题 4.3 基于Token的验证原理 4.5 Tokens的优势 1 发展史 1、很久很久以前，Web 基本上就是文档的浏览而已， 既然是浏览，作为服务器， 不需要记录谁在某一段时间里都浏览了什么文档，每次请求都是一个新的HTTP协议， 就是请求加响应， 尤其是我不用记住是谁刚刚发了HTTP请求..
声网 Token 鉴权机制，以及常见的问题
声网的博客
04-28 1931
可以看到，在用户加入频道前，客户端需要先向服务器申请Token，并在 服务器 生成 Token，且 Token 必须与 需要加入频道的用户所对应的 AppID、频道名、用户 ID（UID）信息、用户权限(是否能发流或收流) 一一对应，并且确保生成的 Token 在有效期内。Token 过期时，SDK 会触发 Token 过期回调。一般来说，我们建议在Token 过期前，及时更新 Token，即从服务器获取新的 Token 并调用 renewToken 将新生成的Token 传给 SDK。
Token的身份验证的原理解析
上善若水~的博客
06-01 869
目录 1 发展史 2 Cookie 3 Session 3.1 cookie和session的区别 4 Token 4.1 传统方式——基于服务器的验证 4.2 基于服务器验证方式暴露的一些问题 4.3 基于Token的验证原理 4.5 Tokens的优势 参考文献 1 发展史 1、很久很久以前，Web 基本上就是文档的浏览而已， 既然是浏览，作为服务器， 不需要记录谁在某一段时间里都浏览了什么文档，每次请求都是一个新的HTTP协议， 就是请求加响应， 尤其是我不用记住是谁刚刚发了HTTP请求， 每个
Cookie、Session、Token、JWT
kagurawill的博客
12-30 1636
什么是认证（Authentication） 通俗地讲就是验证当前用户的身份，证明“你是你自己”（比如：你每天上下班打卡，都需要通过指纹打卡，当你的指纹和系统里录入的指纹相匹配时，就打卡成功） 互联网中的认证： 用户名密码登录 邮箱发送登录链接 手机号接收验证码 只要你能收到邮箱/验证码，就默认你是账号的主人 什么是授权（Authorization） 用户授予第三方应用访问该用户某些资源...
关于jwt token鉴权的一些理解
xielinze的博客
06-03 3052
token 中文译 “令牌”，是一种由服务端生成的字符串，颁发给客户端使用的鉴权机制。 客户端获取到一个token后，以后无需带上用户名和密码，只需带上token即可。 身份认证论述: HTTP是无状态协议，服务端并不清楚是谁请求了它，只有客户端带上用户的账号密码，服务端通过验证后才清楚到底是那个用户请求了它，本次请求完结后，再次请求又需要重新认证。 通用的解决办法是：用户第一次通过认证后，服务端...
全网最全的Cookie, Session, Token鉴权详解，一定让你大饱眼福
MXB_1220的博客
04-17 3182
在Web开发中，鉴权是保护用户数据和系统安全的重要手段之一。常见的鉴权方式包括Cookie、Session和Token三种，下面我将详细介绍这三种鉴权方式，并且探讨它们的优缺点。B站终于有人讲清楚了什么是Cookie、Session、Token鉴权_哔哩哔哩_bilibili以上介绍了三种常见的鉴权方式，它们各有优缺点。Cookie鉴权简单易用，但安全性和可伪造性较差；Session鉴权相对安全可靠，但对服务器的负担较大；Token鉴权可以跨平台支持，扩展性好，但需要考虑密钥的安全性。
前端鉴权：cookie、session 和 token 3种机制，以及 jwt 和 单点登
青蛙king的博客
05-31 2736
Token 是在服务端产生的。 如果前端使用用户名/密码向服务端请求认证，服务端认证成功，那么在服务端会返回 Token 给前端。前端可以在每次请求的时候带上 Token 证明自己的合法地位。 Token 的特点： Token 完全由应用管理，所以它可以避开同源策略； Token 可以避免 CSRF 攻击； Token 可以是无状态的，可以在多个服务间共享。 参考文档： https://www.cnblogs.com/xuxinstyle/p/9675541.html ............
token的生成原理 使用方法!
CJamenc的博客
11-04 8790
什么是token Token是服务端生成的一串字符串，以作客户端进行请求的一个令牌，当第一次登录后，服务器生成一个Token便将此Token返回给客户端，以后客户端只需带上这个Token前来请求数据即可，无需再次带上用户名和密码。 　　基于 Token 的身份验证 使用基于 Token 的身份验证方法，在服务端不需要存储用户的登录记录。流程是这样的： 客户端使用用户名跟密码请求登录 服务端收到请求，去验证用户名与密码 验证成功后，服务端会签发一个 Token，再把这个 Token 发送给客户端 客户端收到
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值