token的验证机制是怎样的？

Question

以下是我的理解，不知道是否正确：
1、登录成功后服务端会生成一个token作为唯一标示
2、token同时保存在后台数据库和客户端
3、客户端每次不用重新登录而是验证本地token和服务端token是否相等就可以
4、如果token过期就重新登录
还有一个问题，怎么实现token的时效性？如果token通过username、password生成，怎么才能使token在一段时间后过期？

Answer 1

token中完全不必存储过期时间，什么时候过期由存储在服务端的token决定：服务端的token一般存储在类Redis的内存数据库中，时效由Redis控制。当客户端发给服务token的时候，服务端会去redis检查是否有这个key（过期会被自动删除），从而实现了token的过期机制。顺便说一下，单点登录也可通过这个方式实现。