是否可以將令牌限制為一台設備？

Question

在.NET環境中-基於令牌的身份驗證-是否可以將令牌限制為一個設備，以便某人無法復制該令牌並在另一設備上使用該訪問令牌執行請求？

Answer 1

簡短的回答是。

1-天真的解決方案是，您從請求標頭以及客戶端IP地址獲取User-Agent，將它們與令牌連接在一起，並使用SecretKey對其進行加密，然后將整個字符串作為新令牌返回給客戶端，因此每次客戶端向服務器發送請求，您必須根據SecretKey解密令牌，並使用即將到來的請求ip地址和User-Agent檢查數據。 因此，如果有人復制令牌，則令牌與標頭或ip不匹配。 但是，如果客戶端正確傳遞了整個標頭，並且具有與原始客戶端相同的IP地址，那么您就被黑了！

2-最安全的解決方案是客戶端證書身份驗證，如NightOwl888所述