前后端分离项目 AccessToken 验证机制设计问题

[hoythan]

简单画了一个流程图，帮忙看下设计上有什么问题吗？

https://www.processon.com/view/link/5a8fba84e4b0615ac05cc2c2

这种方案常见吗？大家一般都是什么设计方式~

[notreami]

sign 是个坑，万一用户时间和服务时间就是相差 5 分钟呢？一直不让登陆？

[solee]

前端登陆 -> 发 jwt token
前端访问服务带上 token 过来验证就行了。因为我们服务设计都是无状态，不需要 token 中带上状态信息。
然后控制下 token 的过期时间或者过期模式就差不多了

[hoythan]

@solee token 啥信息都不带，只是一个 非常单纯的 key

[hoythan]

@notreami 对一些要求严格的可以加 sign，不加的话也行，时间可以精确到分，时甚至天或者月。也就是这个地址一个月后会失效