Token刷新方案如何选择？？

Question

基于请求拦截器或响应拦截器的刷新如果长时间不操作，token已过期，如何处理？直接跳转登录还是刷新token接口设置为匿名访问（保证登录过期了也可以继续请求？）哪种方案好？？

当然我也知道有token续期等其他方案，只是这两种方案有没有建议和标准

Answer 1

阿里嘎多学长整理AIGC生成，因移动端显示问题导致当前答案未能完全显示，请使用PC端查看更加详细的解答过程

Token刷新方案选择

在设计 Token 刷新方案时，我们需要考虑 Token 的过期时间、用户的操作频率和系统的性能等因素。下面是两种常见的 Token 刷新方案：

1. 直接跳转登录
   • 优点：简单、易于实现
   • 缺点：用户体验不好，需要重新登录
2. 刷新 Token 接口
   • 优点：用户体验好， Token 可以继续使用
   • 缺点：需要实现 Token 刷新接口，增加系统复杂度

在你的情况下，如果你选择基于请求拦截器的刷新 Token，长时间不操作，Token 已过期，可以考虑以下方案：

• 使用 Token 刷新接口，设置为匿名访问，保证登录过期了也可以继续请求。
• 在 Token 刷新接口中，检查 Token 是否过期，如果过期，刷新 Token，否则返回 Token 有效期。

在 Spring 中，可以使用 Filter 或 Interceptor 实现 Token 刷新接口。例如：

public class TokenRefreshFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        String token = ((HttpServletRequest) request).getHeader("Authorization");
        if (token != null && token.startsWith("Bearer ")) {
            token = token.substring(7);
            // 检查 Token 是否过期
            if (isTokenExpired(token)) {
                // 刷新 Token
                token = refreshToken(token);
            }
            // 设置 Token 到响应头
            ((HttpServletResponse) response).setHeader("Authorization", "Bearer " + token);
        }
        chain.doFilter(request, response);
    }
}

在上面的示例中，我们使用 Filter 实现 Token 刷新接口，检查 Token 是否过期，如果过期，刷新 Token，否则返回 Token 有效期。