标签: 密码学

文章介绍Web API认证的双Token机制：Access Token（短期，内存存储，高频使用）与Refresh Token（长期，HttpOnly Cookie，低频）。解决单一长Token安全隐患，通过自动刷新流程平衡安全与体验。进阶采用Rotation轮转，并建议前端拦截器实现无感刷新与并发控制。

本文提供了一份 JWT 签名算法速查表，对比了 HS256、RS256、ES256 等算法在性能、体积和部署难度上的差异。针对不同应用场景，如内网高 QPS、对外开放平台和移动端，给出了选型建议，并提供了 Go 语言的性能基准测试代码。