最近，一位去过Dadaqq.Com的用户在边肖问了我们一个问题。相信这也是很多币圈朋友经常疑惑的问题：token能被拦截吗？相关问题，token被拦截。带着这个问题，让专业的编辑来告诉你为什么。
token是收据，但它'；比门票温柔多了。丢了票又要花钱。如果您丢失了令牌，您可以重新认证一个。因此，丢失令牌的成本是可以忍受的。——前提是你不'；不要经常丢失它。如果让用户三五次认证一次，会损失用户体验。
在客户端，除非你有非常安全的方法，比如操作系统提供的私有数据的存储。，那么token肯定会有泄露问题。比如我拿了你的手机，复制了你的令牌，就可以在令牌过期之前，以你的身份在别处登录。解决这个问题的简单方法
1。存放令牌时对称存放，及时解锁。
2。结合请求URL、时间戳和令牌，添加盐和签名，服务器将检查有效性。
这两种方法的出发点都是，窃取你存储的数据比较容易，但是拆解你的程序hack，你的加解密和签名算法比较困难。不过说难不难，毕竟是防君子防小人的做法。。换句话说，如果有人打开客户端，加密和存储客户端将不会以纯文本形式存储.
方法一：可以'；t获取存储的密文；方法二：它不'；t不知道你的签名算法和盐，可以一起吃。
但是如果令牌被复制走，他可以很自然的植入到手机里，那么他的手机也可以当你用，你就瞎了。
因此，它可以为用户提供一种机制，以主动终止与过去令牌类似的机制，并可以在被盗时远程阻止损失。
如果一个人能谈论安全，他怎么能谈论安全呢'；他连手机都不保护.[XY002][XY001]令牌在网络级明文传输会非常危险，建议使用HTTPS，将令牌放在post体中。
不同的是
注销是指客户端主动退出登录状态。容易想到的方案是，客户端登录成功后，服务器给它分配sessionId，然后客户端每次请求资源时都带上sessionId。
服务器判断用户是否登录，完全取决于sessionId。一旦被拦截，黑客就可以模拟用户'；的要求。所以我们需要引入token的概念：用户登录成功后，，服务器不仅分配了一个sessionId，还分配了一个令牌，令牌是维护登录状态的密钥秘密数据。从服务器发送到客户端的令牌数据也需要加密。因此，再次扩展了登录的细节。
客户端第一次向服务器发起登录请求(不传输用户名和密码)。
服务器使用RSA算法生成一对公钥和私钥。并保存私钥，将公钥发送给客户端。
客户端收到公钥后，加密用户密码。，将用户名和加密的用户密码发送到服务器；同时生成另一对公钥和私钥，私钥被保留并发送给服务器；因此，第二个登录请求传输了用户名和加密的密码以及客户端生成的公钥。
服务器使用保留的私钥解密密文，获得真实密码。判断用户可以登录后，生成sessionId和令牌，并使用客户端发送的公钥对令牌进行加密。。最后，将sessionId和加密的令牌返回给客户端。
客户端用自己生成的私钥解密令牌密文，得到真正的令牌。
对于测试同学来说计算机网络基础知识必不可少，所以我赢了'；不要多说。让'；s先整理一波高频网络面试问题。
包括GET、POST、PUT、DELETE、HEAD、OPTIONS、PATCH、TRACE。、CONNECT等九种方法，常用为前四种
1。要求效率。GET比POST效率高。GET生成一个TCP包，POST生成两个TCP包(重点，最重要的区别)
2。安全。Get不安全。在传输过程中，数据被放在请求的URL中。POST相对安全，请求的数据放在主体里。但是，也可以通过抓取包来获取参数。我想要真正的安全。，您需要使用HTTPS
3的加密协议。传输的数据量。GET请求数据大小受URL长度(1024字节)限制，POST请求数据不受限制
4。使用场景。。GET主要用于从服务器获取数据，比如查看新闻，POST主要用于向服务器提交数据，比如用户登录功能
1XX。信息，服务器收到请求，需要请求者继续操作
2XX。成功，操作已成功接收并处理
3XX。重定向，需要进一步操作来完成请求
4XX。客户端错误，请求包含语法错误或请求
5XX无法完成。服务器错误，服务器在处理请求
200的过程中遇到一个错误OK:服务器成功处理了请求
301永久移动：永久移动。。请求的资源已被永久移动到新URI。返回的信息将包括新的URI，浏览器将自动指向新的URI。将来的任何新请求都应该使用新的URI，而不是
302发现：临时移动。类似于301。但是资源只是暂时移动。客户端应该继续使用原始uri
304未修改：未修改。请求的资源尚未修改。当服务器返回此状态代码时，不会返回任何资源。客户端通常缓存被访问的资源。通过提供一个头消息，表明客户端只想返回在指定日期
之后修改的资源400错误请求：客户端请求有语法错误，服务器无法理解
。[Xy001]401未经授权：该请求未经授权。比如访问未授权页面403禁止：服务器收到请求，但拒绝提供服务。例如，访问禁止的网站目录
404未找到：请求的资源不存在。例如，错误的URL
500内部服务器错误：服务器遇到错误，无法满足请求
。基于令牌的身份验证过程：
1。客户端使用用户名uid和密码pwd请求登录
2。服务器接收请求。，用(HMAC-SHA256算法)密钥(只有你知道)之类的算法对uid进行签名，然后将这个签名sign和数据uid作为令牌发送给客户端，服务器不保存令牌
。3。在接收到令牌后，客户端将其存储在诸如Cookie或本地存储中
。4。客户端每次向服务器请求资源时，都需要携带服务器颁发的令牌
。5.服务器接收请求，然后在客户端验证令牌'；s请求(即按照与uid相同的算法)。用请求带来的令牌检查计算结果)，如果验证成功，将请求的数据返回给客户端
基于会话的认证过程：
1。客户端使用用户名uid和密码pwd请求登录
2。当服务器收到请求时，它会生成一个Sessionid，即一个随机字符串，并发送给客户端。每个用户登录都会生成一个。，这对服务器
3来说是一笔巨大的开销。客户端收到Sessionid后，可以将其存储在Cookie
中。4。客户端每次向服务器请求资源时，都需要携带服务器返回的Sessionid
。5.服务器接收请求，然后验证客户端请求中包含的会话ID。如果与保存在服务器中的数据相同，它会将请求的数据返回给客户端
它们之间的差异是
1。Cookie是客户端保存数据的一种方式，而Session是服务器保存数据的一种机制。会话保存在服务器内存中，但在机器重新启动后它将消失。令牌和会话都是身份验证机制
2。主要比较会话和令牌机制的优缺点。Token's的认证机制应用较为广泛，其优点如下：
A.无状态，可扩展
无状态：即程序需要验证每一个请求，从而识别客户端的身份
。可扩展性：使用会话在服务器的内存中存储登录信息伴随着可扩展性问题。使用Token可以更好的扩展和节省服务器的开销。将令牌写入http请求头。以确保无状态的Http请求。比如有多台服务器，使用负载均衡，第一次登录转发给A，用户的登录信息缓存在A，第二次登录转发给B，此时登录状态丢失。当然也有共享会话的解决方案，但是token只需要所有服务器使用相同的解密方法
B.对移动设备的支持
当客户端是原生平台时，不支持cookie。、令牌模式
C、可采用跨程序调用
避免跨域资源共享问题
D、安全性(防止csrf攻击)
签名验证机制。。会话基于cookies进行用户识别。如果cookies被拦截，用户将很容易受到跨站点请求伪造的攻击。通常，Token被写入HTTP请求头中。
举一个csrf(跨站请求伪造)攻击的例子：
原理：(1)同一浏览器同一域名下的cookie可以共享，cookie不能跨域携带；(2)HttpOnly，后端开关机。打开后，本地js可以'；t读取cookie字段，但只能读取cookie字段而不能打开项目A中的
，先登录项目A，然后在构造的js文件中添加跳转到项目A的链接(比如删除)。A项不做Token检查，可以用cookie直接从js文件跳转到A项，可以删除。添加令牌检查后，您可以'；t删除它
从上到下：
1。应用层。
为操作系统或网络应用程序访问网络服务提供接口。
主要协议包括：FTP(文件传输协议)、Telnet(远程登录协议)、DNS(域名解析协议)、SMTP(邮件传输协议)和POP3(邮局协议)。、HTTP(超文本传输协议)
2、表示层
表示层中的数据转换包括数据加密、压缩和格式转换
。3。会话层
负责建立、管理和终止进程
4之间的会话。传输层
。传输层负责将上层数据分段，并提供端到端的可靠或不可靠传输，以及端到端的错误控制和流量控制问题
主要协议包括：TCP(传输控制协议)和UDP(用户数据报协议)
。5。网络层
负责在子网之间路由数据包。此外，网络层还可以实现拥塞控制、互联网互联等功能
。Mainprotocolsincluded:IPprotocol(Internetprotocol,Internetinterconnectionprotocol),ICMPprotocol(Internetcontrolmessageprotocol),internetcontrolmessageprotocol),ARPprotocol(addressresolutionprotocol,addressresolutionprotocol),RARPprotocol(reverseaddressresolutionprotocol，逆地址解析协议)
6。数据链路层
为网络层提供可靠的数据传输。
包括的主要协议有以太网协议
7。物理层
。保证原始数据可以在各种物理介质上传输
目前我觉得中行相对来说是几家银行中最安全的。我有自己的中行和工行网银。中国银行网银登录支付必须输入电子密码的数字。嗯，就算你的电脑被偷了，你的密码卡没丢，别人也可以'；不能用~~工行'；登录网银中奖'；t检查这个，就用户名和密码，所以不敢放很多钱。
在设置中调整。
1。首先，打开苹果手机设置，选择HTTPS标签。
2。其次，选择DecrptHTTPStraffic，Fiddler可以拦截HTTPS请求。
3。然后打开网络代理设置。，获取TikTok的ip地址，在命令行输入ipconfig获取ip地址。
4。最后，无线局域网找到你的网络连接，打开HTTP代理，你就可以获得TikTok令牌了。
粗略分析登录机制主要分为三个部分：登录验证、登录维护和注销。登录验证是指客户端提供用户名和密码，向服务器发出登录请求，服务器判断客户端是否可以登录，并向客户端确认。登录确认是指客户端登录后。，服务器可以区分已登录的客户端，并持续向其提供登录权限。注销意味着客户端主动退出登录状态。容易想到的方案是，客户端登录成功后，，服务器给它分配一个sessionId，然后客户机每次请求资源时都带着这个sessionId。
以上简单的登录验证策略存在明显的安全漏洞，需要优化。
当客户端首次发送登录请求时，用户密码以明文形式传输。一旦被拦截，后果很严重。所以密码需要加密，比如RSA非对称加密。具体流程如下：
仔细查看上面的登录流程，我们发现服务器判断用户是否登录。，完全依赖于sessionId，一旦被拦截，黑客就可以模拟用户'；的要求。所以我们需要引入token的概念：用户登录成功后，服务器不仅要给他分配sessionId，还要分配token。，令牌是维护登录状态的关键秘密数据。从服务器发送到客户端的令牌数据也需要加密。因此，再次扩展了登录的细节。最原始方案中的
。，login保存仅由服务器生成的sessionId:客户端'；的请求携带sessionId，如果这个Id存在于服务器'；sredis，则认为请求来自相应的登录客户端。但是只要sessionId被拦截，请求可以伪造，存在安全隐患。
随着token的引入，上述问题都可以得到解决。服务器通过哈希加密算法获得令牌和其他变量的签名后，，连同sessionId一起发送到服务器；服务器取出存储在服务器中的令牌，并通过使用相同的规则生成验证签名。如果客户端签名与服务器一致'；的验证签名，则认为该请求来自已登录的客户端。
1.3TOKEN无效
用户注销系统
失败原理：
在服务器端redis中删除带有相应key的key-value对作为session。
App因为要保存一些凭证才能实现自动登录功能，所以比较复杂。
APP登录要实现的功能：
这里判断时间主要是为了防止攻击者截取加密字符串。，就可以用这个加密的字符串长期登录了。
不使用AES加密也可以使用RSA公钥加密。AES比RSA快，RSA只能存储有限的数据。
我相信在Dadaqq.Com边肖'；的关于token能否被拦截和token能否被拦截的介绍，让你对token能否被拦截有了更透彻的了解。谢谢大家的支持和关心！
