点赞

star 了 周末看一下

@dnL 别回复了 求你了 我不和夏虫讨论问题，莫名其妙 就要开始比 tokens 数量了吗？乐子

@dnL 噗嗤，谈论问题开始人身攻击了 乐子。不与夏虫语冰

@dnL 不知道你工作几年了，在现实中 有没有接手过别人的代码或者 review 过别人的代码，你有没有过这样的疑问 为什么要这么写？在 vibe coding 下不可能去一行一行代码 review

@dnL 花时间 review ai 写的代码简直是在浪费时间，ai boy 就喜欢说这种话。既然要 review 也是让 ai 去 review 但是 ai 永远无法解决幻觉问题 埋的雷可能更深。我这还只是说一个函数 整体一个复杂需求做下来 让两个人做 思路都是不一样的 阅读起来都很困难，更别说 ai 去写 人去 review 了。只要出问题就无脑吹不会用 ai 真是搞笑

@dnL 你这种真的是搞笑，我让 ai 给我写一个核心函数 跑过测试用例没问题，ok 现在出问题或者需求要改 ai 使用的算法和代码规范可能根本就看不懂，至于为啥看不懂，请你参考维护其他人写代码的情况。

你真闲的！没事给自己找优越感，在代码上贬低一下同事

太玻璃心了吧，工作时间人家艾特你 肯定是和你相关的

收到

节哀

把工资要回来！

@edcopclub 两个 token 要泄露都会泄露

@fun201108 都是 httponly 有什么问题？

@anchors 你认真的吗？

蹲一个答案 我也打算给父母换手机;

@SethShi oauth2.0 是提供授权码，最后用授权码换回来的就是双 token 。

网上说什么的都有 有说是为了让用户无感续签，之前做的项目是有状态的 每次用户请求进来都会给 token 续期。我之前面试也被问过这个问题 我回答的就是用户带 token 进来验证成功就续期一下 现在想起来问的应该是双 token 。但是我理解使用双 token 不是为了续签，更是为了追求性能+用户可控性一个折中的方案；

@zuixinwenyue
先说一些传统的 token 模式有状态和无状态
1.有状态：cookie 或者 uuid 生成一个 token 放请求头里，这些都属于有状态。服务侧缓存 token 信息
2.无状态: jwt 本身就带了 token 的信息&用户信息;

分析一下痛点，可能举例不完善:

有状态： 每次请求进来需要查询缓存啊 or 数据库，影响性能
可以做判断 token 是否存在啊 用户是否登录过期啊 用户有没有被禁用 也可以做到用户信息发生修改 踢用户下线之类的操作 只允许一端登录啊。可控性非常大;

无状态: 无状态的话就不需要查询数据库了，从性能来讲肯定是比有状态要好的，服务侧拿到只需要验签就可以。
缺点也很明显，上面说到有状态能做的都不行

双 token 我自己感觉是折中了一下 在需要性能+用户可控方面折中，一般来讲 accessToken 是无状态的用于快速验证 过期时间较短，refreshToken 是有状态 用于判断用户信息之类的操作 过期时间较长。这样就可以在性能和用户可控方面折中啦。
以上是我的浅见