我要评论一 、背景与核心问题
在分布式系统中，令牌续期不是“把过期时间重置”这么简单，而是需要在安全性、用户体验与系统性能之间取得平衡。常见痛点包括：
- 旧令牌在有效期内仍可使用，形成安全黑洞；
- 高并发场景下多个请求同时触发刷新，引发并发风暴与状态不一致；
- 多设备、跨服务调用导致会话冲突与验证链路复杂。
续期策略设计需优先回答三个问题：
- 何时续期：固定窗口、滑动窗口还是按需刷新；
- 如何续期：单令牌还是双令牌（access/refresh），有状态还是无状态；
- 如何安全防控：令牌撤销、黑名单、设备绑定、限频与密钥轮换等。
二、先给结论：几种方案对比表
方案 | 安全性 | 用户体验 | 实现复杂度 | 适用场景 | 性能影响 |
|---|---|---|---|---|---|
单token基础版 | ★☆☆☆☆ | ★★☆☆☆ | ★☆☆☆☆ | 内部测试系统 | 低 |
单token+黑名单 | ★★☆☆☆ | ★★★☆☆ | ★★☆☆☆ | 低风险web应用 | 中 |
双token基础版 | ★★★☆☆ | ★★★★☆ | ★★★☆☆ | 常规web/app | 中 |
双token+三验证 | ★★★★★ | ★★★☆☆ | ★★★★☆ | 金融/支付系统 | 高 |
自动续期方案 | ★★★★☆ | ★★★★★ | ★★★★☆ | 高用户体验要求系统 | 中高 |
分布式环境增强 | ★★★★☆ | ★★★★☆ | ★★★★☆ | 多设备、跨服务系统 | 中 |
三、不同方案与代码实现
3.1 单token基础版
思路：仅使用 access token，不进行任何额外的续期或黑名单处理。当 token 过期后，用户需重新登录获取新的 token。
实现：直接签发一个有固定过期时间的 access token，在验证 token 时，仅检查其是否在有效期内。
适用场景：内部低安全要求的测试系统、短期活动页面、快速原型开发等对安全性和用户体验要求不高的场景。
<?php
class tokenservice
{
private const access_ttl = 1800; // 30 分钟
// 生成 access token
public function generatetoken(string $username): string
{
return jwtutil::encode([
'sub' => $username,
'iat' => time(),
'exp' => time() + self::access_ttl,
]);
}
// 验证 token 是否有效
public function validatetoken(string $token): bool
{
try {
$expiration = jwtutil::getexpiration($token);
return $expiration > time();
} catch (exception $e) {
// 若解析 token 失败，认为 token 无效
return false;
}
}
}3.2 单token方案（黑名单优化）
思路：仅使用access token，续期时签发新令牌，并将旧令牌加入黑名单，黑名单 ttl 略大于令牌 ttl，避免并发刷新导致旧令牌仍可用。
适用：内部低风险系统、短期活动页、快速原型。
要点：
- 黑名单 ttl 建议比 access token ttl 多 5分钟，覆盖网络延迟与时钟偏差；
- 并发刷新时可能出现“旧令牌尚未加入黑名单”的短暂窗口，建议配合请求去重标记或分布式锁；
- 登出/改密需立即写入黑名单，保证强制下线的实时性。
<?php
class tokenservice
{
private const access_ttl = 1800; // 30分钟
private const blacklist_ttl = 2100; // 35分钟
public function refresh(string $oldtoken): string
{
if ($this->isblacklisted($oldtoken)) {
throw new runtimeexception('token revoked', 401);
}
$payload = jwtutil::decode($oldtoken);
$sub = $payload['sub'] ?? null;
if (!$sub) {
throw new runtimeexception('invalid token', 401);
}
// 先拉黑旧令牌，再签发新令牌（减少并发窗口）
$this->addblacklist($oldtoken, self::blacklist_ttl);
return jwtutil::encode([
'sub' => $sub,
'iat' => time(),
'exp' => time() + self::access_ttl,
]);
}
private function isblacklisted(string $token): bool
{
return (bool) redis::get("blacklist:{$token}");
}
private function addblacklist(string $token, int $ttl): void
{
redis::setex("blacklist:{$token}", $ttl, '1');
}
}3.3 双token方案（基础版）
思路：登录签发access token（短期）与refresh token（长期）；access 过期后，用 refresh 换取新 access。refresh 存于服务端（如 redis），便于撤销与管控。
适用：常规 web/app，安全性与体验均衡。
要点：
- refresh token 建议存 redis，支持撤销、滑动续期与次数限制；
- 建议将 refresh token 通过 httponly + secure cookie 下发，降低 xss 风险；
- 登出时删除 refresh token，实现立即失效。
<?php
class tokenservice
{
private const access_ttl = 900; // 15分钟
private const refresh_ttl = 604800; // 7天
public function login(string $userid): array
{
$accesstoken = jwtutil::encode([
'sub' => $userid,
'iat' => time(),
'exp' => time() + self::access_ttl,
'type' => 'access',
]);
$refreshtoken = bin2hex(random_bytes(32));
redis::setex("refresh:{$refreshtoken}", self::refresh_ttl, $userid);
return compact('accesstoken', 'refreshtoken');
}
public function refresh(string $refreshtoken): string
{
$userid = redis::get("refresh:{$refreshtoken}");
if (!$userid) {
throw new runtimeexception('invalid or expired refresh token', 401);
}
// 方案a：撤销式刷新（推荐）
redis::del("refresh:{$refreshtoken}");
// 方案b：滑动续期（可选）
// redis::expire("refresh:{$refreshtoken}", self::refresh_ttl);
return jwtutil::encode([
'sub' => $userid,
'iat' => time(),
'exp' => time() + self::access_ttl,
'type' => 'access',
]);
}
public function logout(string $refreshtoken): void
{
redis::del("refresh:{$refreshtoken}");
}
}3.4 双token方案（安全增强：三验证 + 并发控制）
思路：在基础版上增加：
- 一次性 statetoken 防重放；
- 设备绑定防被盗用；
- 分布式锁避免并发风暴。
- 适用：金融、支付、企业级应用。
要点：
- 一次性 statetoken 解决并发刷新与重放攻击；
- 设备绑定降低被盗用风险；
- 分布式锁避免“并发风暴”，锁 ttl 建议 5–10秒。
<?php
class tokenservice
{
private const access_ttl = 900;
private const refresh_ttl = 604800;
private const state_ttl = 300; // 5分钟
public function refreshwithstate(string $refreshtoken, string $clientstate, string $deviceid): array
{
$lockkey = "lock:refresh:{$refreshtoken}";
$statekey = "state:{$clientstate}";
// 分布式锁（setnx + ex 简化示例）
$acquired = redis::set($lockkey, 1, ['nx', 'ex' => 5]);
if (!$acquired) {
throw new runtimeexception('refresh in progress, try later', 429);
}
try {
// 1) 一次性 statetoken 校验
$stored = redis::get($statekey);
if (!$stored || $stored !== $deviceid) {
throw new runtimeexception('invalid state or device mismatch', 401);
}
redis::del($statekey);
// 2) refresh 令牌校验
$userid = redis::get("refresh:{$refreshtoken}");
if (!$userid) {
throw new runtimeexception('invalid or expired refresh token', 401);
}
// 3) 撤销式：删除旧 refreshtoken
redis::del("refresh:{$refreshtoken}");
// 4) 生成新令牌对
$newaccess = jwtutil::encode([
'sub' => $userid,
'iat' => time(),
'exp' => time() + self::access_ttl,
'type' => 'access',
]);
$newrefresh = bin2hex(random_bytes(32));
redis::setex("refresh:{$newrefresh}", self::refresh_ttl, $userid);
return compact('newaccess', 'newrefresh');
} finally {
redis::del($lockkey);
}
}
public function createrefreshstate(string $deviceid): string
{
$state = bin2hex(random_bytes(16));
redis::setex("state:{$state}", self::state_ttl, $deviceid);
return $state;
}
}3.5 自动续期方案（滑动窗口 + 网关/中间件）
思路：在网关/中间件或业务拦截器中检测令牌剩余有效期，低于阈值时签发新令牌并通过响应头返回，客户端无感替换。
适用：微服务、前后端分离、高并发系统。
要点：
- 建议采用双阈值：剩余时间 ≤ 5分钟 或 ≤ 总有效期的30% 时触发续期；
- 客户端需实现响应头监听与token替换，失败兜底 401 → 跳转登录；
- 网关层统一治理，减少业务侵入。
<?php
// 网关/中间件示例（伪代码，可按 webman/laravel/swoole 适配）
class tokenrenewmiddleware
{
private const renew_threshold = 300; // 5分钟
public function handle($request, $next)
{
$token = $this->extracttoken($request);
if (!$token) {
return $next($request);
}
try {
$payload = jwtutil::decode($token);
} catch (exception $e) {
return $this->unauthorized('invalid token');
}
$remaining = $payload['exp'] - time();
if ($remaining > self::renew_threshold) {
return $next($request);
}
// 签发新令牌
$newtoken = jwtutil::encode([
'sub' => $payload['sub'],
'iat' => time(),
'exp' => time() + 900, // 15分钟
'type' => 'access',
]);
$response = $next($request);
$response->withheader('x-new-token', $newtoken);
return $response;
}
private function extracttoken($request): ?string
{
$auth = $request->header('authorization', '');
return str_starts_with($auth, 'bearer ') ? substr($auth, 7) : null;
}
private function unauthorized(string $msg)
{
return new response(401, ['content-type' => 'application/json'], json_encode(['error' => $msg]));
}
}3.6 分布式环境增强（多设备与会话管理）
思路：以用户+设备维度维护最新令牌，登录时使旧令牌失效（黑名单或缓存淘汰）；跨服务通过本地快速校验 + 认证中心兜底提升性能与一致性。
要点：
- 单设备登录策略可减少会话冲突；如需多设备，建议记录设备列表并支持按设备强制下线；
- 跨服务优先本地 jwt 验签 + 黑名单校验，失败再调用 认证中心 兜底，降低跨网开销。
<?php
class sessionservice
{
// 登录：单设备登录（踢旧）
public function login(string $userid, string $deviceid): string
{
$token = jwtutil::encode([
'sub' => $userid,
'iat' => time(),
'exp' => time() + 900,
'type' => 'access',
'device' => $deviceid,
]);
$key = "session:{$userid}:{$deviceid}";
$oldtoken = redis::get($key);
if ($oldtoken) {
// 使旧令牌失效（黑名单或缓存失效）
redis::setex("blacklist:{$oldtoken}", 2100, '1');
}
redis::setex($key, 900, $token);
return $token;
}
// 跨服务验证：本地快速校验 + 认证中心兜底
public function validateacrossservices(string $token): bool
{
try {
$payload = jwtutil::decode($token);
$key = "session:{$payload['sub']}:{$payload['device']}";
$current = redis::get($key);
return $current && hash_equals($current, $token);
} catch (exception $e) {
// 本地失败，调用认证中心兜底
return authcenterclient::validate($token);
}
}
}四、 选型建议
- 原型/内测或低风险系统：优先用单token+黑名单，实现成本最低；务必保证黑名单 ttl > access token ttl（建议多约 5 分钟），并限制刷新频率，避免被滥用。
- 常规业务（web/app）且需可控撤销：选择双token基础版；将 access token ≤ 30 分钟、refresh token ≤ 7 天，refresh 存 redis 支持撤销与滑动续期；登出时删除 refresh，保证可强制下线。
- 高安全场景（金融/支付/政企）：采用双token+三验证+并发锁；在签名校验基础上增加一次性 statetoken与设备绑定，配合分布式锁抵御并发风暴；必要时对 refresh 实施次数限制与轮换策略。
- 强体验与统一治理（微服务/中台/saas）：使用自动续期方案（网关/中间件统一拦截），以双阈值（如：剩余 ≤ 5 分钟 或 ≤ 总有效期的 30%）触发续期；响应头返回 x-new-token，前端实现静默替换与失败兜底 401→登录。
- 多设备与会话治理：以用户+设备为维度维护最新令牌，登录时可选择单设备登录（踢旧）或多设备并存（可按设备强制下线）；跨服务验证建议“本地快速验签 + 认证中心兜底”，降低跨网开销并保证一致性
要点：
- 令牌时效基线：access ≤ 30 分钟、refresh ≤ 7 天；refresh 配合刷新次数限制与滑动/撤销策略，避免长期可用与被盗用扩散。
- 刷新阈值与策略：采用双阈值（绝对 + 相对）判断续期时机；网关/拦截器统一处理，减少业务侵入；前端必须实现静默更新与失败回退。
- 并发与幂等：刷新端点加分布式锁（如按 jti/refreshtoken 锁定），设置短ttl（5–10秒）避免阻塞；对同会话的并发刷新返回相同结果或排队提示，杜绝“并发风暴”。
- 撤销与强制下线：登出/改密/风控立即使令牌失效（黑名单或删除 refresh）；黑名单 ttl 略大于 access ttl；提供撤销接口与refresh 使用频率监控，异常触发告警与限流
到此这篇关于详解多种主流token续期方案对比解析的文章就介绍到这了,更多相关token续期内容请搜索代码网以前的文章或继续浏览下面的相关文章希望大家以后多多支持代码网！
发表评论