前端Token无感刷新实战指南+源码

介绍

前端实现Token无感刷新主要通过双Token机制（Access Token和Refresh Token）结合请求拦截器完成。Access Token用于API访问且生命周期较短（如1-2小时），Refresh Token用于刷新Access Token且生命周期较长（如7天）。

实现原理

在响应拦截器中捕获401状态码，触发Refresh Token流程。刷新期间通过标志位（如isRefreshing）防止重复请求，并将过期请求暂存队列中，待获取新Token后重新发送。

核心步骤

1. ‌Token存储‌：Access Token建议存内存（如Vuex），Refresh Token需存HttpOnly Cookie提升安全性。
2. ‌拦截器配置‌：
   • 请求拦截器自动添加有效Access Token；
   • 响应拦截器对401状态码调用刷新接口，刷新失败则跳转登录页。
3. ‌时间校验‌：可结合登录时间与当前时间差，在特定区间（如1-2小时）内触发刷新。

代码示例

以下为基于Axios的完整实现：

1.TokenManager.js

class TokenManager {
  constructor() {
    this.isRefreshing = false;
    this.requestsQueue = [];
  }

  // 存储Token
  setTokens(accessToken, refreshToken) {
    localStorage.setItem('accessToken', accessToken);
    localStorage.setItem('refreshToken', refreshToken);
  }

  getAccessToken() {
    return localStorage.getItem('accessToken');
  }

  getRefreshToken() {
    return localStorage.getItem('refreshToken');
  }

  removeTokens() {
    localStorage.removeItem('accessToken');
    localStorage.removeItem('refreshToken');
  }

  // 刷新Token核心逻辑
  async refreshToken() {
    if (this.isRefreshing) {
      return new Promise((resolve) => {
        this.requestsQueue.push(resolve);
      });
    }
    
    this.isRefreshing = true;
    try {
      const response = await axios.post('/api/auth/refresh', {
        refreshToken: this.getRefreshToken()
      });
      
      const newAccessToken = response.data.accessToken;
      localStorage.setItem('accessToken', newAccessToken);
      
      // 执行队列中的请求
      this.requestsQueue.forEach(callback => callback(newAccessToken));
      this.requestsQueue = [];
      return newAccessToken;
    } catch (error) {
      this.requestsQueue = [];
      this.removeTokens();
      window.location.href = '/login';
      throw error;
    } finally {
      this.isRefreshing = false;
    }
  }
}

export const tokenManager = new TokenManager();

2.axiosConfig.js

import axios from 'axios';
import { tokenManager } from './tokenManager.js';

// 创建axios实例
const service = axios.create({
  baseURL: process.env.VITE_API_BASE_URL,
  timeout: 10000
});

// 请求拦截器
service.interceptors.request.use(
  (config) => {
    const token = tokenManager.getAccessToken();
    if (token) {
      config.headers.Authorization = `Bearer ${token}`;
    }
    return config;
  },
  (error) => {
    return Promise.reject(error);
  }
);

// 响应拦截器
service.interceptors.response.use(
  (response) => {
    return response;
  },
  async (error) => {
    const { config, response } = error;
    
    // 处理Token过期情况
    if (response?.status === 401 && !config._retry) {
      config._retry = true;
      
      try {
        const newToken = await tokenManager.refreshToken();
        config.headers.Authorization = `Bearer ${newToken}`;
        return service(config);
      } catch (refreshError) {
        return Promise.reject(refreshError);
      }
    }
    return Promise.reject(error);
  }
);

export default service;

3.LoginTimeManager.js

export class LoginTimeManager {
  static setLoginTime() {
    localStorage.setItem('loginTime', Date.now().toString());
  }

  static shouldRefreshToken() {
    const loginTime = localStorage.getItem('loginTime');
    if (!loginTime) return false;

    const currentTime = Date.now();
    const elapsed = currentTime - parseInt(loginTime);
    const oneHour = 60 * 60 * 1000;
    const twoHours = 2 * oneHour;

    return elapsed > oneHour && elapsed < twoHours;
  }
}

4.authDemo.vue

<template>
  <div class="auth-container">
    <h2>Token无感刷新演示</h2>
    <button @click="handleLogin" class="login-btn">模拟登录</button>
    <button @click="fetchUserData" class="fetch-btn">获取用户数据</button>
    <div v-if="userData" class="data-display">
      <h3>用户数据:</h3>
      <pre>{{ JSON.stringify(userData, null, 2) }}</pre>
    </div>
  </div>
</template>

<script>
import axios from './axiosConfig.js';
import { tokenManager } from './tokenManager.js';
import { LoginTimeManager } from './loginHandler.js';

export default {
  name: 'AuthDemo',
  data() {
    return {
      userData: null
    };
  },
  methods: {
    async handleLogin() {
      try {
        const response = await axios.post('/api/auth/login', {
        username: 'user',
        password: 'pass'
        });
        
        const { accessToken, refreshToken } = response.data;
        tokenManager.setTokens(accessToken, refreshToken);
        LoginTimeManager.setLoginTime();
        alert('登录成功！');
      } catch (error) {
        alert('登录失败！');
      }
    },
    
    async fetchUserData() {
      try {
        const response = await axios.get('/api/user/profile');
        this.userData = response.data;
      } catch (error) {
        console.error('获取用户数据失败:', error);
      }
    }
  },
  mounted() {
    // 全局点击监听触发Token刷新
    document.addEventListener('click', async () => {
      if (LoginTimeManager.shouldRefreshToken() && !window.isRefreshing) {
        window.isRefreshing = true;
        try {
          await tokenManager.refreshToken();
          LoginTimeManager.setLoginTime();
        } finally {
          window.isRefreshing = false;
        }
      }
    });
  }
};
</script>

<style scoped>
.auth-container {
  padding: 20px;
  max-width: 800px;
  margin: 0 auto;
}

.login-btn, .fetch-btn {
  margin: 10px;
  padding: 10px 20px;
  background: #4CAF50;
  color: white;
  border: none;
  border-radius: 5px;
  cursor: pointer;
}

.data-display {
  margin-top: 20px;
  padding: 15px;
  background: #f5f5f5;
  border-radius: 8px;
}
</style>

文件作用

TokenManager.js 的作用

TokenManager.js 负责Token的存储管理和刷新逻辑核心实现。它通过双Token机制（Access Token和Refresh Token）来确保认证连续性，当Access Token过期时自动使用Refresh Token获取新的Access Token。该文件实现了防止重复刷新的标志位控制（isRefreshing）和过期请求的队列管理（requestsQueue），确保在刷新期间到达的请求能够在新Token获取后重新发送。同时提供完整的Token设置、获取和清理方法，并在刷新失败时自动跳转登录页面。

axiosConfig.js 的作用

axiosConfig.js 专门配置Axios的请求和响应拦截器。在请求拦截器中自动为每个API请求添加有效的Access Token到Authorization头部。在响应拦截器中捕获401状态码（Token过期），并调用TokenManager的刷新方法。该文件还负责在Token刷新成功后，使用新Token重新发送之前失败的请求，确保用户操作不被中断。

LoginTimeManager.js 的作用

LoginTimeManager.js 提供基于时间的Token刷新策略。它记录用户登录时间，并通过计算当前时间与登录时间的时间差来判断是否应该主动刷新Token。这种时间校验机制可以作为401状态码的补充，在Token即将过期但尚未过期时提前刷新，进一步优化用户体验。

authDemo.vue 的作用

authDemo.vue 是前端界面组件，负责用户交互和功能演示。它提供登录按钮触发认证流程，并展示获取用户数据等受保护接口的调用效果。该组件还集成了全局点击监听，在特定时间窗口内触发Token刷新，展示无感刷新的实际运行效果。

这四个文件共同协作：TokenManager处理核心刷新逻辑，axiosConfig拦截网络请求，LoginTimeManager提供时间策略，authDemo则展示完整功能。这种模块化设计使得代码结构清晰，易于维护和扩展。

关键优化点

• ‌防抖刷新‌：通过标志位控制刷新频率，避免短时间多次刷新。
• ‌错误处理‌：Refresh Token过期时清理本地存储并跳转登录。
• ‌时间安全‌：优先依赖服务端401状态码而非本地时间判断。

此方案在Token过期时自动静默更新，用户操作不受中断，显著提升体验。