看了半天，你这里问的问题和另一个帖的问题。我说说我的理解。
第一种就是另一个帖子中回复生成独一无二的token，并在服务器中保存。他提出token中不包含任何真实数据。这种做法是可行的，就像你说的每次生成随机密码加密。我个人理解你们这种加密是不可逆的，需要在服务端存储token并进行比对。
第二种是所谓的jwt模式，json web token。将信息以json的形式储存到token中，比如用户id和过期时间等。这种token是可逆的，在服务器上配置好公钥和私钥，可以将用户的token揭秘成json格式的信息。然后去比对用户的id是不是真实的，token有没有过期。这种token是不用储存在服务器的数据库或者redis中的。过期时间也不用在服务器端储存。你说的破解token的有效时间的问题。如果对方没有你的私钥，理论上他修改的token你这里解密不了，因此可以判断token被修改了。
【 在 facilitator () 的大作中提到: 】
: 多谢指点
:
: 我原本也是想每个api请求都验证token 然后把token替换成新的 不过细想之后发现如果用户并发请求的话就会出bug了 所以只好在用户每次login时生成一个token一直用 但是每次api请求会换了一个随机密码加密 以便让token看起来每次都不一样 防止破解其中的过期时间
:
--
修改:dagon FROM 39.177.181.*
FROM 39.177.181.*