如何在Meteor的simple:rest-accounts-password包中禁用令牌过期？

嘿，我明白你的困扰——不想为了保留永不过期的令牌就降级整个Meteor版本，毕竟这个需求确实挺常见的。下面给你几个可行的替代方案：

方案1：通过Meteor核心配置全局禁用登录令牌过期 #

Meteor本身提供了配置登录令牌过期时间的选项，你可以在服务器端的代码里添加以下配置：

// 服务器端代码（比如server/main.js）
Accounts.config({
  loginTokenExpirationInDays: null
});

这个配置会让所有登录令牌（包括通过simple:rest-accounts-password生成的）永不过期。需要注意的是，这会影响整个应用的登录机制，如果你只是想针对REST接口的令牌禁用过期，这个方案可能有点“一刀切”，但胜在简单直接。

方案2：修改simple:rest-accounts-password的令牌生成逻辑（使用patch-package） #

如果你只想针对REST接口的令牌禁用过期，而保留其他登录方式的过期机制，可以用patch-package来修改这个包的代码：

• 首先安装patch-package：

npm install patch-package --save-dev

• 找到simple:rest-accounts-password包的源码（通常在node_modules/meteor/simple_rest-accounts-password目录下），找到生成登录令牌的部分（一般在server.js里），删除或注释掉设置过期时间的代码（比如类似expires: new Date(Date.now() + tokenExpiration)的行）。
• 生成补丁：

npx patch-package simple:rest-accounts-password

• 之后每次安装依赖，patch-package都会自动把这个补丁应用上去，这样就能只让REST接口的令牌永不过期了。

方案3：重写令牌验证逻辑，忽略过期检查 #

另一种思路是在服务器端重写令牌验证的方法，让系统忽略令牌的过期时间。在服务器端添加以下代码：

// 服务器端代码
const originalVerifyLoginToken = Accounts._verifyLoginToken;
Accounts._verifyLoginToken = function(token, options) {
  // 调用原方法，但忽略过期检查
  const result = originalVerifyLoginToken(token, { ...options, ignoreExpiration: true });
  return result;
};

这个方法会让所有令牌验证都忽略过期时间，和方案1类似，但如果你需要更精细的控制，可以在这个方法里加判断，只针对REST接口的请求跳过过期检查（比如通过检查请求的来源或者路径）。

注意事项 #

禁用令牌过期会带来一定的安全风险——如果令牌泄露，攻击者可以永久访问用户账户。所以如果采用这些方案，建议同时加强其他安全措施，比如强制使用HTTPS、添加令牌刷新机制，或者在用户修改密码时立即失效所有旧令牌。

内容的提问来源于stack exchange，提问作者kabouterhuisje