用户令牌校验（Token）

本文档将详细介绍接口令牌校验的定义、作用、适用场景及填写规则，帮助开发者正确理解和使用令牌校验功能，保障接口调用安全。

什么是令牌校验？

令牌校验（Token Validation）是接口安全防护的一种机制，通过“用户令牌（Token）”验证调用者身份的合法性。

• 核心原理：用户登录成功后，系统生成唯一的、有有效期的字符串（即Token）；后续调用需权限的接口时，开发者需在请求中携带该Token，系统通过校验Token的有效性（是否存在、是否过期、是否与用户匹配），决定是否允许接口调用。
• Token本质：一段加密的身份凭证，避免每次调用接口都传递账号密码，既提升安全性，也减少重复验证的性能消耗。

提示

因此，官方建议在有安全性场景需求的情况下开启令牌校验，以保障接口调用安全。

令牌校验场景示例

请确保全局令牌校验开关已打开，否则接口调用时将不校验Token。

考虑到非专业群体用户，默认不开启Token，当在后台开启了令牌校验才会显示token，否则为空字符串

得到这串Token后，把Token加在接口后方，然后发送请求，就可以正常调用接口了。

token_dead 是token的过期时间，如果超过这个时间，token就会失效，需要重新登录获取新的token。

开启令牌校验（修改用户昵称接口）对接示例：

如果未开启令牌校验就需要填写user（用户账号）和pass（密码）。

未开启令牌校验（修改用户昵称接口）示例：

令牌校验的核心作用

1. 替代账号密码，降低泄露风险
   未启用令牌校验时，接口需频繁传递user（账号）和pass（密码），且密码多为明文；启用后仅需传递Token，无需暴露核心账号密码，大幅减少敏感信息泄露概率。
2. 控制接口访问权限
   Token与特定用户绑定，仅持有有效Token的用户可调用接口，防止未登录用户或非法用户越权访问（如修改他人昵称、获取他人数据）。
3. 有效期管控，提升安全性
   Token有明确的失效时间（如2小时、7天），即使Token被窃取，攻击者也只能在有效期内使用；过期后需重新登录获取新Token，降低长期风险。

常见问题与排查

问题现象	可能原因	排查步骤
接口返回“令牌缺失”	未携带token参数，或参数名错误（如tokens）	1. 检查请求参数中是否包含token；2. 核对参数名是否与接口文档一致
接口返回“令牌无效”	Token不存在、被注销，或与用户不匹配	1. 确认Token是当前用户登录生成的；2. 检查是否误使用其他用户的Token
接口返回“令牌已过期”	Token超过token_dead失效时间	1. 对比当前时间与token_dead时间戳；2. 重新登录获取新Token