本文目录一览：
- 1、redis的权限验证方式有哪些?
- 2、API接口安全设计方案(已实现)
- 3、前后端常见的几种鉴权方式(小结)
- 4、jwt与token+redis,哪种方案更好用?
数据加密：Redis支持对数据进行加密，保证数据传输和存储的安全性，能够防止敏感数据泄露和数据被篡改 。
权限验证 。如果主节点设置了 requirepass 参数，则需要密码验证，从节点必须配置 masterauth 参数保证与主节点相同的密码才能通过验证；如果验证失败复制将终止，从节点重新发起复制流程 。5）同步数据集 。
API接口安全设计方案(已实现)网络安全方案，主要从数据加密与api接口安全两个方面考虑 ， 数据加密https已经加密了 ， 就不再次加密了；主要从api安全方面考虑 。
就像上文所说，token方案重点在于，当用户登录成功之后，我们只需要生成好对应的token，然后将其返回给前端，在下次请求业务接口的时候 ， 需要把token带上 。具体的实践，也可以分两种：下面，我们介绍的是第二种实现方式 。
API接口，类似 http：//mypay.com/refund/order_id=123&mch_id=123 ，这个请求我以商户mch_id=123的身份给订单号为order_id=123退款，如果服务器不辩别请求发起者的身份直接做相应的操作，那是及其危险的 。
HTTP Basic身份认证安全性较低 ， 必须与HTTPS配合使用 。HTTP Digest身份认证可以单独使用，具备中等程度的安全性 。HTTP Digest身份认证机制还支持插入用户自定义的加密算法 ， 这样可以进一步提高API的安全性 。
每次HTTP请求，都需要加上timestamp参数，然后把timestamp和其他参数一起进行数字签名 。
前后端常见的几种鉴权方式(小结)1、常用的web鉴权方式有： 基本身份验证（Basic Authentication）： 这是最基础的一种鉴权方式，通过在HTTP请求头中添加用户名和密码的方式进行验证 。这种方式简单易用，但安全性较低，因为密码通常明文传输 。
2、由于http 协议是一种无状态的协议 ， 服务器端并不知道客户端的那一头是谁在请求服务器 。而且服务器上的资源不一定是对所有人开放，所以需要进行用户对登录鉴权 。目前 ， 我们在开发中主要使用过4 种鉴权方式 。
3、常用的token鉴权方式的解决方案是JWT，JWT是通过对带有相关用户信息的json进行加密，加密的方式比较灵活，可以根据需求具体设计，这里就不做过多介绍 。
4、这种操作，在前后端鉴权系统中，叫 session 。典型的 session 登陆/验证流程： **「Session 的存储方式」**显然，服务端只是给 cookie 一个 sessionId，而 session 的具体内容（可能包含用户信息、session 状态等），要自己存一下 。
5、令牌会附加到每个请求上，为微服务提供用户身份验证 ， 这种解决方案的安全性相对较好，但身份验证注销是一个大问题 ， 缓解这种情况的方法可以使用短期令牌和频繁检查认证服务等 。
6、Spring 的 拦截器（Interceptor） 实现这个功能也非常合适 。顾名思义，拦截器用于在 Controller 内 Action 被执行前通过一些参数判断是否要执行此方法，要实现一个拦截器，可以实现 Spring 的 HandlerInterceptor 接口 。
jwt与token+redis,哪种方案更好用?Token需要查库验证token是否有效，而JWT不用查库，直接在服务端进行校验，因为用户的信息及加密信息，和过期时间，都在JWT里 ， 只要在服务端进行校验就行，并且校验也是JWT自己实现的 。JWT是json web token缩写 。
token方案，是目前业务类型的项目当中使用最广的方案，而且实用性非常高，可以很有效的防止黑客们进行抓包、爬取数据 。
JSON Web Token （JWT）是一个开放标准（RFC 7519），它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息 。该信息可以被验证和信任，因为它是数字签名的 。
绝大多数情况下 ， 传统的 cookie-session 机制工作得更好 。jwt 适合做简单的 restful api 认证，颁发一个固定有效期的 jwt，降低 jwt 暴露的风险 ， 不要对 jwt 做服务端的状态管理，这样才能体现出 jwt 无状态的优势 。
**「JWT」**但上面的做法额外增加了 cookie 数量，数据本身也没有规范的格式，所以 JSON Web Token Introduction - jwt.io 横空出世了 。它是一种成熟的 token 字符串生成方案，包含了我们前面提到的数据、签名 。
【redis token设计 redis做token认证】你可以把它放在Cookie里面自动发送，但是这样不能跨域，所以更好的做法是放在HTTP请求的头信息 Authorization 字段里面 。另一种做法是， 跨域的时候，JWT就放在POST请求的数据体里 。
