如何處理身份驗證令牌

Question

我有一個API移動服務，可以處理用戶的登錄和驗證。 如果驗證了用戶，則它將生成一個身份驗證令牌。 在我的末端，我有一個Web客戶端，該客戶端接收該令牌並使用它來調用不同的Api控制器。 我應該如何保持用戶登錄狀態不變？

我可以將令牌存儲在cookie上嗎？ 如果這樣做會遭受虐待嗎？ 會議會更好嗎？ 解決此問題的最佳方法是什么？ 對不起，這個問題很抱歉，但是我之前從未做過這種設置。

Answer 1

令牌可以作為cookie相對安全地存儲在客戶端上。 這是使用表單身份驗證的示例 。 通過要求SSL可以使其更加安全。

您也可以考慮使用HTML 5本地存儲，例如： http : //www.princesspolymath.com/princess_polymath/?p=396

...效率更高，因為您在進行需要它的AJAX調用時手動使用令牌，而不是在每次請求時都發送cookie。