如何在JAVA中为帐户确认邮件创建Web令牌

Question

我在stackoverflow上浏览了许多帖子，以找到如何创建一个简单的Web令牌以确认通过邮件进行注册的方法。 没有看到任何“官方”方式或通用技术。

我虽然没有在数据库中添加具有到期日期的特定单元来加密或散列到期日期，电子邮件和一个随机值（由randomSecure生成）来创建我的令牌，但我没有这样做。

这是实现目标的好方法吗？ 有图书馆自动做到这一点。

任何帮助是极大的赞赏。

Answer 1

您（可能）需要一种方法来防止某人生成自己的令牌。 如果您的令牌在令牌中清楚地标明了失效日期和电子邮件地址，则可以毫不费力地对它们进行反向工程，因此唯一的安全信息是随机数。 但是，为了使随机数有用（从安全角度考虑），您的服务器需要记住随机数。 但是，如果您要这样做，则其他信息是多余的。

所以我的建议是只使用随机数作为令牌。 生成带有适当“文本铠装”的随机数的一种好方法是生成4型UUID。 有关详细信息，请参见UUID类javadoc。 其余信息（有效期，电子邮件地址和用户注册信息的唯一密钥）可以存储在数据库表中，而不发送给用户。