> ### Token * [JSON Web Token 入门教程](http://www.ruanyifeng.com/blog/2018/07/json_web_token-tutorial.html) * [https://jwt.io/](https://jwt.io/) * 无状态 * * * * Token访问令牌 登录时产生一个Token(token的Payload存入用户Id) 前端拿到这个token后保存在一个地方 下次请求的时候, 把token放入请求header 服务端验证token * 失败: 非法操作 * 成功: 取出用户Id(以这个用户Id身份登录--如果是后台管理员,再判断这个用户Id是否管理员) * * * * 表单加入Token, 避免重复提交表单 访问表单前生成一个token, 保存在session中 表单提交时， 将token传到服务端 判断客户端传的token, 与服务端保存的token是否相同 * 相同: 提交成功(删除服务端的token或重置服务端的token) * 不同: 提交失败 * * * * 上https，防止被中间人拿到token