全文小结：
- 1、url传输token的主要危害
- 2、把阿里云的token给别人有什么风险
- 3、token储存和安全问题
- 4、安卓版的token安全吗
- 5、为什么要使用refresh token？为何会更安全？
- 6、Oauth的access token 安全么
url传输token的主要危害
会暴露token值。URL携带token是不安全的，会暴露token值，token可以谈如放在请求header的Authorization中，在https下含绝启传输，保证token传输的安全，另外token 本身的安全性，算法是否安全，token应该在服务端生成，密钥也在服务端，校验在服务端，这是起码的安全，另外宏戚token也应该有时效性。
把阿里云的token给别人有什么风险
左右
首先，给别人阿里云的token存在安全风险，因为token可以用来操作阿里云账号内的所有资源，包括存储、计算、数据库昌饥等服务，可以进行创建、修改、删除资源，甚至可以巧燃消耗账号内的资金，如果恶意利用token，可能会对阿里云账号造成严重的损失和损害。
其次，给别人阿里云的token会暴露账号的敏感信息，如账号登录密码、账号余额、账号使用情况等，如果这些信息被他人窃取，会对账号安全造成严重威胁。
最后，给别人阿里云的token会带来法律风险，因为token可以用来操作阿里云账号内的资源，孝迅虚如果他人恶意利用token，可能会违反相关法律法规，对账号所有者造成严重的法律责任。
token储存和安全问题
1、token存放在localStorage、cookie（http-only）或者内存中；
2、OAuth加尺租或密传送；
3、账号密码登录后生成一个随机token，一段时间陵伍内可用，绑定userId、常用ip等（不是常用ip时重新登录）；
4、用token时有时间限制和功能限制（接口权限分散）；
5、使用https；
6、配合使用极验、指型盯纹、人脸等工具；
期间看到一个段子：“建议用脑电波登录”
------希望早日实现
安卓版的token安全吗
安全
在app开放接口api的设计中，避免不了的就是安全性问题，因为大多数接口涉及到用户的个人信息以及一些敏感的数据，所以对这些接口需要进行身份的认证，那么这就需要用户提供一些信息，比如用户名密码等，但是为了安全起见让用户暴露的明文密码次数越少越好，我们一般在web项目中，大多数采用保存的session中，然后在存一份到cookie中，来保持用户的回话有效性。但是在app提供的开放接口中，后端服务器在用户登录后如何去验证和维护用亏燃户的登陆有效性呢，以下是参考项目中设计的解决方案，其原理和大多数开放接口安全验证一样，如淘宝的开放接口token验证，微信开发平台token验证都是同理。
签名设计
对于敏感唤空伏的api接口，需使用https协议
https是在http超文本传输协议加入SSL层，它在网络间通信是加密的，所以需要加密证书。
https协议需要ca证书，一般需要交费。
原理：用户登录后向服务器提供用户认证信息（如账户和密码），服务器认证完后给客户端返回一个Token令牌，用户再次获取信息时，带上此令牌，如果令牌正取，则返回数据。对于获取Token信息后，访问用户相关接口，客户端请求的url需要带上如下参数：
时间戳：timestamp
Token令牌：token
然后将所有用户请求的参数按照字母排序（包括timestamp，token），然后根据MD5加密（可以加点盐），全部大写，生成sign签名，这就是所说的url签名算法。然后登陆后每次调用用户信息时，带上sign，timestamp，token参数。
api请求客户端想服务器端一次发送用用户认证信息（用户名和密码），服务器端请求到改请求后，验证用户信息是否正确。
如果正确：则返回一个唯一不重复的字符串（一般为UUID），然后在Redis（任意缓存服务器）中维护Token—-Uid的用户信息关系，以便其他api对token的校验。如果错误：则返回错误码。
2.服务器设计一个url请求拦截规则
（1）判断是否包含timestamp，token，sign参数，如果不含有返回错误码。
（2）判断服务器接到请求的时间和参数中的时间戳是否相差很长一段时间（时间自定义如半个小时），如果超过和携则说明该url已经过期（如果url被盗，他改变了时间戳，但是会导致sign签名不相等）。
（3）判断token是否有效，根据请求过来的token，查询redis缓存中的uid，如果获取不到这说明该token已过期。
（4）根据用户请求的url参数，服务器端按照同样的规则生成sign签名，对比签名看是否相等，相等则放行。（自然url签名也无法100%保证其安全，也可以通过公钥AES对数据和url加密，但这样如果无法确保公钥丢失，所以签名只是很大程度上保证安全）。
（5）此url拦截只需对获取身份认证的url放行（如登陆url），剩余所有的url都需拦截。
3.Token和Uid关系维护
对于用户登录我们需要创建token–uid的关系，用户退出时需要需删除token–uid的关系
为什么要使用refresh token？为何会更安全？
普通的token方案 有效期设置过长不安全，过短需要频繁重新登录，体验差。
access token 有效期短，如果被盗损失更小，所以安全性更高。
如果refresh token被盗了，想刷新access token的话，也需要提供过期的access token。盗取难度运段巧增加。
同时refresh token只有在第一次获取和刷新access token时才会在网络中传输
被盗的风险远小于access token 从而在一定程度上更安全了一点
所谓旁键的更安全就燃做是让盗取信息者更不容易获得而已。
参考文章：
没有理解refresh token的必要性或者说其为何比access token安全 - Java技术 - Java - 水木社区 (newsmth.net)
Oauth的access token 安全么
一直在使用Oauth,顺便来说闷源唯说。
其实Oauth的Access Token还是比较安全的。蚂培至于内部人员拿到用的Access Token这种极端情况，是没办法避免的。但是这个跟Oauth的Access Token设计没关系了。内部人员能拿到Access Token，也会拿到其他敏感数据，甚至会拿到APP的security key，甚至会脱裤。这种范围已经不单单是Access Token甚至APP设计需要考虑的了，这个涉及到整个企业架构，保密体系，人员管理，安全重视程度等裂雹复杂的东西了。