api接口的sign和token怎么怎么设计比较合适

Question

怎么设计比较合适，我是这么想的，需要登录状态的参数需要token+sign,其他公共的接口只要sign就好。之前看过人家用的sign,是把所有的参数连成串+appsecret然后md5,感觉这么弄有点麻烦，不知道大家平时是怎么处理的。

Answer 1

appid+appsecret+time,然后加密一下,比如sha1,具体怎么整,自己定义,有了time就可以验证是否过期,有时效性,appsecret不要暴漏。或者开放一个获取token接口,获取之后一段时间内有效。

Answer 2

token 参考 jwt

能上https 就上 https

签名的话基本设计都一致, 参数+key hash, 要注意防重放, 所以还要加上 时间戳

Answer 3

写个签名函数就可以了，没什么麻烦的

Answer 4

客户端用token+时间戳加密一下生成sign 然后将token,时间戳，sign都传给后台，后台再用token和时间戳已同样的加密方式加密，加密后的结果和客户端传来的sign比较，一样就是通过，不一样说明被篡改了