关于 H5 使用token+sign 验证的一点疑惑

Question

token+sign 如果在服务端sign的生成算法肯定不用担心泄露问题，但是如果H5端调用api,生成的sign的算法在客户端完全暴露，有什么好的方案解决嘛？

Answer 1

看你是验证什么了，一般来说，纯的H5页面使用 signature 来验证API调用的确会暴露算法，也不建议。

可以使用 json web token,但是获取json web token 也会涉及是否暴露的问题。

个人认为，纯H5页面，很难做到完全无状态，基本都是暴露的，一些 jwt 或者是 signature 可以使用 server-send-event 来做。

除了signature/jwt 之外，也可以使用多种方式，比如请求头什么的，这个涉及的方面就多一些。

我以前使用过cookie来存储生成的token，但是cookie的问题也很多