这是一个创建于 2695 天前的主题，其中的信息可能已经有所发展或是发生改变。
现在实现了一个 OAuth2.0 的服务，用户通过账号密码来取得 access token 。
现在是每登录一次都生成一个新的 access token ，我担心会不会有恶意调用这个接口生成大量 access token （尽管我的接口已经加了调用频率控制）。而且因为调用接口都是我自己的应用， access token 有效期我都设为永久了，这样就导致 access token 不会失效自动清除。
大家都是怎么做的呢？
现在是每登录一次都生成一个新的 access token ，我担心会不会有恶意调用这个接口生成大量 access token （尽管我的接口已经加了调用频率控制）。而且因为调用接口都是我自己的应用， access token 有效期我都设为永久了，这样就导致 access token 不会失效自动清除。
大家都是怎么做的呢？
 |
1
shyling 2016-12-02 16:37:44 +08:00
|
 |
2
luili 2016-12-02 16:45:25 +08:00
首先，我不是开发，我是产品汪，我不建议 access token 有效期设为永久，我比较推荐微信的做法：
https://ooo.0o0.ooo/2016/12/02/5841349ba442f.png |
 |
3
alex321 2016-12-02 16:47:26 +08:00
这个不都是通用有效期的么。。各种方便啊。
|
 |
4
phpcxy OP 其实我的问题是:多个客户端是用一个 access token 还是不同的 access token
1.如果分发不同的 access token ，数据库里面可能会保存了大量的 access token ； 2.如果使用同一个 access token ，是所有客户端共用一个。如果这个 access token 失效就全部客户端都要重新授权。 |
 |
5
asen477 2016-12-02 17:13:16 +08:00
如果是多端应用，建议还是多个 token 。
|
 |
6
vghdjgh 2016-12-02 17:23:46 +08:00
github 的 access token 是永久有效的，不过用户在设置里可以 revoke 掉。
|
 |
7
ikaros 2016-12-02 18:25:46 +08:00
用同一个吧,用同一个可以兼容其他情况,但是用不同的,像微信这种就会冲突,因为前一个会失效
https://mp.weixin.qq.com/wiki/14/9f9c82c1af308e3b14ba9b973f99a8ba.html ``` 如果第三方不使用中控服务器，而是选择各个业务逻辑点各自去刷新 access_token ，那么就可能会产生冲突，导致服务不稳定。 ``` |
Select Language