REST API中的身份驗證令牌

Question

如果我有一個客戶端向我的REST API傳遞加密的身份驗證令牌（包含授權密鑰，用戶標識和創建的時間戳的令牌），如果我只是解密此身份驗證令牌在服務器端並確保令牌仍然有效（即未到期），這足夠嗎？或者，我是否應該針對此用戶的當前有效驗證令牌列表驗證此驗證令牌？

我想我問，因爲，如果我必須通過爲每個API調用進行數據庫查找來驗證此令牌，那麼這不會是太多的開銷嗎？

Answer 1

即使失效日期沒有通過，您的令牌可能無效嗎？如果是，那麼你確實需要檢查一個清單。

Ofcourse會有開銷，但這一切都取決於在高峯時間您是否可以輕鬆地處理負載。如果沒有，您可以隨時將這些密鑰卸載到內存中，例如memcached，redis等。