2020-01-16：我截获了登录token的话，是不是就获得了登录状态，这样就不安全了。如何保证安全？
【摘要】 福哥答案2020-01-06：[知乎答案：](https://www.zhihu.com/question/439602796)首先，Token 一般放在 Header 或者 Cookies 中，Http 是明文传输，Https 是密文传输。可以一定程度防止Token 截获。第二，Token 一般会和 Ip，MAC地址，或者 DeviceID 进行绑定。如果服务端检测这些发生了变化，可以将 ...
福哥答案2020-01-06：
[知乎答案：](https://www.zhihu.com/question/439602796)
首先，Token 一般放在 Header 或者 Cookies 中，Http 是明文传输，Https 是密文传输。可以一定程度防止Token 截获。
第二，Token 一般会和 Ip，MAC地址，或者 DeviceID 进行绑定。如果服务端检测这些发生了变化，可以将 Token 失效让用户重新登录。
第三，Token 可以加密，例如AES对称加密，客户端与服务端先交换对称秘钥之后用对称秘钥将 Token + 当前时间戳 对称加密后发往服务端解密验证 Token 和时间戳都有效。或者直接通过 RSA 公钥加密。增加了截取成本。
第四，敏感操作一般要求二次安全验证，例如支付的时候，需要支付密码，或者验证手机短信验证码等等。
***
[评论](https://user.qzone.qq.com/3182319461/blog/1610755742)
【声明】本内容来自华为云开发者社区博主，不代表华为云及华为云开发者社区的观点和立场。转载时必须标注文章的来源（华为云社区）、文章链接、文章作者等基本信息，否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容，欢迎发送邮件进行举报，并提供相关证据，一经查实，本社区将立刻删除涉嫌侵权内容，举报邮箱：
cloudbbs@huaweicloud.com
- 点赞
- 收藏
- 关注作者
评论（0）