有什么 token 生成方式，可以按访问次数计算失效的吗？（一般 token 都是按时间计算失效）

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

V2EX 提问指南

这是一个创建于 1921 天前的主题，其中的信息可能已经有所发展或是发生改变。

通常 token 一般都是超时失效。如果想要 token 按使用次数失效（且后端不需要设计计数器），比如 token 用过一次就失效。

token

失效

计数器

次数

20 条回复 • 2019-08-30 09:40:53 +08:00

HENQIGUAI

2019-08-29 09:30:48 +08:00

redis incr

inhzus

2019-08-29 09:32:27 +08:00 via Android

超时失效的逻辑是，token 中有设置的超时时间的时间戳，在服务端和当前时间比较下就可以判断是否过期。
按次数失效的话，我直观上觉得仅凭 token 中的某个标志位是不可取的。看楼下大佬有没有好的想法，或者有其他不使用 token 达到次数失效的有意思的方法

shalk

2019-08-29 09:42:19 +08:00 via iPhone

比较时间戳和比较次数是一回事。你已经假定 token 不变，token 里只能带次数上限，后端肯定要知道已使用次数，要么放在外部，要么放在内部。

momocraft

2019-08-29 09:48:28 +08:00

想不出这样的 token 怎样抗重放攻击

netnr

2019-08-29 10:17:09 +08:00

这就是卡密需求，有时间、次数限制，比如说卡密有效期三个月，那么后台得记录三个月内的卡密兑换情况，超出月份的可以删除（前提是卡密是包含了年月信息）

楼下正解？

zhujinliang

2019-08-29 10:37:23 +08:00 via iPhone

除非服务器端有记录 token 使用次数，否则的话估计只能利用超自然现象了，比如：
token 中放一句诗或一张图片，会导致看到这个信息的人的时间减少一秒，服务器端可以通过比对正常时间流逝与请求方时间流逝的差别判断 token 被使用了多少次

diegozhu

2019-08-29 10:41:40 +08:00

1. 要么 token 里面加个 maxCount，服务器端计数。
2. 要么 token 里面加个 visitCount，每次都 refresh token，当 visitCount >= server 端配置的 maxCount，就不允许 refresh token.

token 是不变的，类似 readonly。只有 token 过期重新获取才会改变。大部分这种计数的需求都是放在 server 端做。
server 端不计数可以通过第二种方式，但是第二种方式，就违背了 token 作为令牌的设计理念了。本来只要持有令牌，则可在一定时间内访问，变成每次都要 refresh 了。所有请求都要 refresh，会对系统压力好大。本来只需要验证下 token 是否有效，现在每个请求都要重新生成一个 token....很容易成为瓶颈。