REST API中的身份验证令牌

Question

如果我有一个客户端向我的REST API传递加密的身份验证令牌（包含授权密钥，用户标识和创建的时间戳的令牌），如果我只是解密此身份验证令牌在服务器端并确保令牌仍然有效（即未到期），这足够吗？或者，我是否应该针对此用户的当前有效验证令牌列表验证此验证令牌？

我想我问，因为，如果我必须通过为每个API调用进行数据库查找来验证此令牌，那么这不会是太多的开销吗？

Answer 1

即使失效日期没有通过，您的令牌可能无效吗？如果是，那么你确实需要检查一个清单。

Ofcourse会有开销，但这一切都取决于在高峰时间您是否可以轻松地处理负载。如果没有，您可以随时将这些密钥卸载到内存中，例如memcached，redis等。