WebService+Token口令认证

[litengfei0020]

公司要我开发一个WebService 再加上Token口令认证，不知道这个东西是一个什么样的流程，麻烦哪位给说下思路

[myhope88]

你了解oauth知识就清楚了

[正怒月神]

其实就是认证当前用户是不是合法的，有权限访问你的webservice。 微信的一些接口和一些物流公司的数据查询接口是这么干的。 token是一个令牌，假设token是333333， 比如你的webservice是这样的 public string Test(string a,string signReq) { } a是人家发送给你的数据字符串，这是一个 xml格式字符串 signReq是 a+token 然后 整个md5加密的字符串。 当对方调用你接口时就把这两个传递给你，你接收后，把他的xml+token 也进行Md5加密，然后和signReq比对，如果一样，就把a转成对象执行处理逻辑， 否则代表令牌是错误的

[Jerry_liu20080504]

引用 2 楼 正怒月神 的回复:

其实就是认证当前用户是不是合法的，有权限访问你的webservice。
微信的一些接口和一些物流公司的数据查询接口是这么干的。
token是一个令牌，假设token是333333，
比如你的webservice是这样的
public string Test(string a,string signReq)
{

}
a是人家发送给你的数据字符串，这是一个 xml格式字符串
signReq是 a+token 然后 整个md5加密的字符串。
当对方调用你接口时就把这两个传递给你，你接收后，把他的xml+token 也进行Md5加密，然后和signReq比对，如果一样，就把a转成对象执行处理逻辑，
否则代表令牌是错误的

多谢大神，能给出spring boot + cxf的例子吗？

[stevenjin]

采用FORM表单验证，生成token。
授权时用BASIC进行认证。

[以专业开发人员为伍]

引用 楼主 litengfei0020 的回复:

公司要我开发一个WebService 再加上Token口令认证，不知道这个东西是一个什么样的流程，麻烦哪位给说下思路

你可以先设计一个叫做 Login 的 webservice，返回一个 string（也就是浮夸地说叫做“token”来唬人），然后其它的 sebservice 全都补充上一个叫做 token 的 string 类型参数就行了。说白了“思路”，就是登录服务获得一个授权码，然后其它请求都要带上授权码，以便服务器端随时可以验证登录身份。 那么假设纠结一点、“偏”一点，你可以把这个授权码弄到什么 SessionID 对应机制，甚至是 http 消息头中。这样就不走通用的简单匿名webservice规则，而是强行要求各种应用端来使用异种 webservice 扩展处理方法。有的人（我就是）以为故意制造麻烦是很垃圾的事情，应该使用简单地“增加一个授权码参数”就完事儿了；而有的人则认为在 Session 或者 http 消息头中的方案才显得高大上，给不同语言不同工具平台的程序员制造了技术陷阱才显得高明。

[以专业开发人员为伍]

对于复杂一点的流程，你可以设计这个随即编码 token 的生存期不超过10分钟（也就是10分钟内，客户端必须重新调用 Login 服务获取新的 token），或者你可以要求通讯必须使用 https/ssl 而不是 http，等等，都是常见地增加复杂度的做法。基本的东西搞懂了就可以了。

[得鹿梦鱼、]

JWT了解哈：
https://blog.csdn.net/qq_40081976/article/details/79046825

[wangminxiao_1981]

其实就是认证当前用户是不是合法的，有权限访问你的webservice。 微信的一些接口和一些物流公司的数据查询接口是这么干的。 token是一个令牌，假设token是333333， 比如你的webservice是这样的 public string Test(string a,string signReq) { } a是人家发送给你的数据字符串，这是一个 xml格式字符串 signReq是 a+token 然后 整个md5加密的字符串。 当对方调用你接口时就把这两个传递给你，你接收后，把他的xml+token 也进行Md5加密，然后和signReq比对，如果一样，就把a转成对象执行处理逻辑， 否则代表令牌是错误的

[极客诗人]

个人觉得就是你去判断根据这个来判断是否是合法登陆。。

[小刘哈哈]

Token 就是访问接口的时候 客户端传到服务端的一个令牌 服务端判断下这个令牌是否正确 ，一般 这个令牌 我之前d生成规则 是 参数+自定义的一串字符串 再MD5 加密。