客戶端/服務器應用程序的身份驗證策略

Question

我正在為一個基本的聊天程序編寫一個簡單的協議。 我的問題是：一旦客戶端通過提供用戶名和密碼進行身份驗證，我是否還應該要求客戶端在其以下數據包中提供令牌？ 還是將其身份驗證狀態保留在服務器的表中並且永遠不要期望客戶端在斷開連接並重新連接之前證明它？

Answer 1

在客戶端提供正確的憑據后，您不應要求對任何進一步的消息進行身份驗證。 如果您懷疑，每條消息都應包含身份驗證信息，並且在此實現中您無需通過“登錄”進行身份驗證 - 只需要求每條消息的安全信息。

成功登錄后，您可能需要用戶憑據的唯一情況是更新客戶端信息（由客戶端本身），其中包括更改密碼和其他“用戶”信息。 發起“更改密碼”請求時，您必須要求輸入密碼。

確保身份驗證附加了一些加密，以便沒有人可以截獲消息。 您可能還有一些密鑰（例如幾個字節的字符串），您可以驗證每個傳入消息以確保消息來自正確的客戶端（這是根據您的原始設計，而不是我在第一段中給出的替代設計）。