为何令牌（token）认证比基于API密钥的认证安全性更高？

这是典型的基于令牌（token）的认证流程：首次登录时发送用户名与密码，获取到令牌后所有后续请求均使用该令牌校验身份，令牌仅在设定的有效期内生效。
若网络中存在恶意监听者嗅探到令牌，即可伪装成客户端发起请求，但此类泄露的影响范围受时效限制。但如果监听者可嗅探到令牌，难道不会同时嗅探到首次登录请求，进而永久自行申请有效令牌吗？
这种场景下，整套认证机制是否会退化为等同于每次请求都发送一个不可撤销的API密钥的效果？

解答 #

你提到的嗅探风险成立的前提是整个请求链路没有HTTPS加密、全程明文传输，这本身就不符合正规token认证的安全部署要求，正常生产场景下不会出现这种情况。

就算真的发生流量被中间人破解、内容被嗅探的极端情况，token机制也不会退化成不可撤销的永久API密钥，核心原因有3点：

• 账号密码只会在首次登录请求中传输1次，后续所有业务请求都只传token，不会反复暴露核心的账号凭证。就算某段时间的流量被窃听，大概率也只会泄露有效期极短的access token，不会泄露密码，攻击者也就没法自行无限申请新的有效令牌。
• 现在主流的token认证都会搭配refresh token机制，常规业务请求只会携带有效期通常只有几分钟到几十分钟的access token，只有access token过期后，才会用存储在客户端本地、不会在普通请求里传输的refresh token去申请新的access token。refresh token支持后台主动吊销，一旦发现泄露可以立刻封禁，不存在永久有效的问题。
• 现在的账号系统普遍有异常登录检测、多因子认证等防护逻辑，就算攻击者真的拿到了账号密码，也很难绕开校验完成登录、自行申请令牌。

你说的等同于永久API密钥的情况，只有在没做HTTPS加密、token设为永久有效且不支持吊销的错误实现下才会出现，不是token认证机制本身的设计问题。

内容的提问来源于stack exchange，提问作者RaGe