refreshToken是不是应该换个方式生成?

[vagusss]

如果refreshToken和token按照一样的逻辑生成(jwt),那么完全可用refreshToken代替token进行资源请求吧,这样不就没有意义了吗?感觉结合用户的唯一标识和设备信息用加密算法生成refreshToken然后放到redis设置有效期(较长一点)会不会是一种可行的方案?

[liangjfblue]

@vagusss 分为refreshToken（长）和token（短），主要是私密性和安全性考虑。因为前者是只有在token失效才会使用，被截取的几率会小点，但是token是每次请求接口都会使用到的，截取的几率会比较大，如果长时间免密登陆，只有一个token的话，也可以实现，但是安全性方面会差点。