如何实现Discord机器人仪表盘页面刷新后保持登录状态？

针对你的需求，直接用localStorage确实存在客户端篡改风险，而IP关联方案会因为用户网络环境变化（比如切换WiFi、使用VPN）导致登录状态失效，体验不佳，且同一局域网下多用户IP相同会引发冲突，并非最优解。推荐采用服务器端会话+HttpOnly Cookie的方案，兼顾安全性和用户体验，具体实现步骤如下：

核心流程 #

1. 调整Discord OAuth2授权范围：
   除了identify，还要添加offline_access scope，这样Discord会返回refresh_token，用于在access_token过期后刷新登录状态，实现长期登录。

2. 服务器端会话存储：

   • 用户通过Discord登录后，后端拿到Discord返回的access_token、refresh_token和用户ID。
   • 生成一个高随机性的会话ID（比如UUID v4），将会话ID与用户ID、refresh_token、会话过期时间（比如7天）关联，存储到数据库中。
   • 后端将这个会话ID设置为HttpOnly、Secure、SameSite=Strict的Cookie：
     • HttpOnly：禁止前端JS访问Cookie，避免XSS攻击窃取会话信息。
     • Secure：仅在HTTPS连接下传输Cookie，防止明文泄露。
     • SameSite=Strict：限制Cookie仅在同域请求中携带，防范CSRF攻击。

3. 页面刷新时的状态验证：

   • 页面刷新后，浏览器自动携带Cookie中的会话ID。
   • 后端查询数据库，验证会话ID是否存在、未过期，且关联的用户信息有效。
   • 如果access_token已过期，用存储的refresh_token调用Discord API刷新新的access_token，更新数据库中的记录，然后返回用户信息；如果会话无效，则引导用户重新登录。

4. 退出登录处理：

   • 用户点击退出后，后端删除数据库中对应的会话记录，并清除客户端的Cookie。

为什么这是最优方案 #

• 安全性高：HttpOnly Cookie避免了客户端篡改和XSS风险，会话信息仅存储在服务器端，无法被前端篡改或窃取。
• 体验流畅：不依赖用户IP，网络环境变化不影响登录状态，符合用户对持久登录的预期。
• 灵活性强：可以灵活设置会话过期时间，也能主动让会话失效（比如用户修改账号密码后），同时定期清理过期会话，减少数据库冗余。

注意事项 #

• 必须部署在HTTPS环境下，否则Secure属性无法生效，Cookie安全无法保障。
• 会话ID要足够随机，避免被暴力猜测，建议使用加密级别的随机字符串生成。
• 不要将Discord的access_token或refresh_token暴露给前端，全部由服务器端管理。

内容的提问来源于stack exchange，提问作者Fy17