如何处理身份验证令牌

Question

我有一个API移动服务，可以处理用户的登录和验证。 如果验证了用户，则它将生成一个身份验证令牌。 在我的末端，我有一个Web客户端，该客户端接收该令牌并使用它来调用不同的Api控制器。 我应该如何保持用户登录状态不变？

我可以将令牌存储在cookie上吗？ 如果这样做会遭受虐待吗？ 会议会更好吗？ 解决此问题的最佳方法是什么？ 对不起，这个问题很抱歉，但是我之前从未做过这种设置。

Answer 1

令牌可以作为cookie相对安全地存储在客户端上。 这是使用表单身份验证的示例 。 通过要求SSL可以使其更加安全。

您也可以考虑使用HTML 5本地存储，例如： http : //www.princesspolymath.com/princess_polymath/?p=396

...效率更高，因为您在进行需要它的AJAX调用时手动使用令牌，而不是在每次请求时都发送cookie。