簡(jiǎn)介這是一套面向授權(quán)站搭建者與程序開(kāi)發(fā)者的SF授權(quán)系統(tǒng)源碼版本為V3.7全開(kāi)源無(wú)加密適合希望自建授權(quán)平臺(tái)、開(kāi)展副站長(zhǎng)或合作商分權(quán)運(yùn)營(yíng)的技術(shù)人員使用。資源包共約2000個(gè)文件壓縮后25.71MB其中PHP文件246個(gè)承載核心業(yè)務(wù)邏輯JS與CSS、SCSS合計(jì)逾1400個(gè)構(gòu)成基于layuiadmin框架的前后臺(tái)界面另有svg、png、gif等圖形資源及sql、json、txt等配置與數(shù)據(jù)文件結(jié)構(gòu)完整可直接部署。程序集成盜版入庫(kù)、快捷登錄、易支付認(rèn)證、在線商城與購(gòu)買(mǎi)源碼系統(tǒng)后臺(tái)支持全設(shè)置化管理并內(nèi)置多種授權(quán)站權(quán)限制度可分配副站長(zhǎng)、合作商等角色。安裝需PHP5.6與MySQL5.6環(huán)境域名解析后上傳解壓訪問(wèn)install即可但務(wù)必提前配置發(fā)信郵箱與授權(quán)碼否則站長(zhǎng)無(wú)法通過(guò)郵箱驗(yàn)證碼登錄。目前已有819人學(xué)習(xí)下載適合想快速搭建授權(quán)站并二次開(kāi)發(fā)的用戶參考。1. 全新SF授權(quán)系統(tǒng)源碼 V3.7 全開(kāi)源無(wú)加密版本從授權(quán)模型到落地部署拿到一套“全開(kāi)源無(wú)加密”的授權(quán)系統(tǒng)源碼第一反應(yīng)往往不是興奮而是警惕——授權(quán)系統(tǒng)本身是保護(hù)別人軟件的它自己卻全開(kāi)源這中間的信任邊界怎么劃SF授權(quán)系統(tǒng) V3.7 這個(gè)版本號(hào)背后指的是一套用于軟件授權(quán)分發(fā)、卡密管理、設(shè)備綁定與在線校驗(yàn)的服務(wù)端加客戶端方案。它解決的核心問(wèn)題是你寫(xiě)了一個(gè)工具或軟件想按設(shè)備、按時(shí)長(zhǎng)、按功能模塊收費(fèi)但又不想自己從零寫(xiě)一套注冊(cè)機(jī)、發(fā)卡后臺(tái)和心跳校驗(yàn)。適合誰(shuí)獨(dú)立開(kāi)發(fā)者、小型軟件團(tuán)隊(duì)、做私有化交付的技術(shù)負(fù)責(zé)人。不適合誰(shuí)需要金融級(jí)安全審計(jì)的場(chǎng)景或者指望“全開(kāi)源”就等于“零維護(hù)”的人。這套源碼的價(jià)值不在于它多安全而在于它把授權(quán)系統(tǒng)里最瑣碎的那部分——卡密生成、設(shè)備指紋、離線授權(quán)文件、在線續(xù)期——用可讀的代碼攤開(kāi)給你看你能改能審計(jì)能按自己的業(yè)務(wù)邏輯重寫(xiě)校驗(yàn)規(guī)則。全開(kāi)源無(wú)加密意味著沒(méi)有混淆、沒(méi)有遠(yuǎn)程加載、沒(méi)有暗樁這對(duì)二次開(kāi)發(fā)是好事但也意味著你必須自己承擔(dān)安全加固的責(zé)任。2. 授權(quán)系統(tǒng)的核心模型卡密、設(shè)備指紋與離線授權(quán)文件2.1 三種授權(quán)形態(tài)的選型邏輯在動(dòng)手改代碼之前先搞清楚這套系統(tǒng)支持哪幾種授權(quán)形態(tài)以及每種形態(tài)適合什么場(chǎng)景。常見(jiàn)做法是分三類(lèi)卡密直充型、設(shè)備綁定型、離線授權(quán)文件型?？苤背湫妥詈?jiǎn)單用戶拿到一串卡密在客戶端輸入客戶端把卡密發(fā)給服務(wù)端服務(wù)端驗(yàn)證后返回一個(gè)有效期或功能開(kāi)關(guān)。優(yōu)點(diǎn)是實(shí)現(xiàn)快缺點(diǎn)是卡密一旦泄露誰(shuí)都能用。設(shè)備綁定型在卡密基礎(chǔ)上加了一層首次激活時(shí)客戶端上報(bào)設(shè)備指紋服務(wù)端把卡密和設(shè)備指紋綁定后續(xù)校驗(yàn)時(shí)同時(shí)驗(yàn)證兩者。離線授權(quán)文件型適合內(nèi)網(wǎng)環(huán)境或不能聯(lián)網(wǎng)的場(chǎng)景服務(wù)端生成一個(gè)帶簽名的授權(quán)文件客戶端本地驗(yàn)簽不依賴網(wǎng)絡(luò)。SF授權(quán)系統(tǒng) V3.7 的源碼里這三種形態(tài)通常都有對(duì)應(yīng)的接口和數(shù)據(jù)結(jié)構(gòu)。你不需要全用但要知道它們的存在因?yàn)楹罄m(xù)改代碼時(shí)很多邏輯是圍繞這三種形態(tài)分叉的。授權(quán)形態(tài)適用場(chǎng)景網(wǎng)絡(luò)依賴防泄露能力卡密直充快速驗(yàn)證、短期授權(quán)必須聯(lián)網(wǎng)弱設(shè)備綁定按設(shè)備收費(fèi)、長(zhǎng)期授權(quán)首次聯(lián)網(wǎng)后續(xù)可離線中離線授權(quán)文件內(nèi)網(wǎng)、無(wú)網(wǎng)環(huán)境無(wú)強(qiáng)依賴簽名選型建議如果你的用戶群體設(shè)備固定、網(wǎng)絡(luò)穩(wěn)定優(yōu)先設(shè)備綁定如果用戶環(huán)境復(fù)雜、經(jīng)常斷網(wǎng)離線授權(quán)文件更穩(wěn)卡密直充只適合做臨時(shí)活動(dòng)或試用。2.2 設(shè)備指紋的生成與穩(wěn)定性取舍設(shè)備指紋是授權(quán)系統(tǒng)的地基。指紋不穩(wěn)定用戶換個(gè)網(wǎng)卡、插個(gè)U盤(pán)就掉授權(quán)客訴能把你淹沒(méi)。SF授權(quán)系統(tǒng) V3.7 里設(shè)備指紋的生成邏輯通常在客戶端的一個(gè)獨(dú)立模塊里常見(jiàn)做法是采集主板序列號(hào)、CPU ID、硬盤(pán)序列號(hào)、MAC地址然后做哈希。但這里有個(gè)血淚經(jīng)驗(yàn)不要采集太多硬件信息。采集越多指紋越容易變。比如MAC地址用戶開(kāi)個(gè)虛擬機(jī)、換個(gè)網(wǎng)卡、甚至插個(gè)USB網(wǎng)卡都會(huì)變。我一般會(huì)建議只采集兩到三項(xiàng)相對(duì)穩(wěn)定的主板序列號(hào) CPU ID或者硬盤(pán)序列號(hào) 系統(tǒng)安裝時(shí)間。然后做一次哈希存成一個(gè)固定長(zhǎng)度的字符串。import hashlib import subprocess def get_device_fingerprint(): # 采集主板序列號(hào)Windows下用wmicLinux下用dmidecode # 注意不同系統(tǒng)命令不同這里以Windows為例 try: board_serial subprocess.check_output( wmic baseboard get serialnumber, shellTrue ).decode().split(\n)[1].strip() except Exception: board_serial unknown_board try: cpu_id subprocess.check_output( wmic cpu get processorid, shellTrue ).decode().split(\n)[1].strip() except Exception: cpu_id unknown_cpu # 拼接后哈希避免明文暴露硬件信息 raw f{board_serial}|{cpu_id} fingerprint hashlib.sha256(raw.encode()).hexdigest() return fingerprint這段代碼的邏輯是采集兩個(gè)相對(duì)穩(wěn)定的硬件標(biāo)識(shí)拼接后做SHA256哈希。參數(shù)說(shuō)明board_serial和cpu_id是原始硬件信息哈希后變成64位十六進(jìn)制字符串客戶端只上報(bào)哈希值服務(wù)端不接觸原始硬件信息。注意wmic在部分Windows版本里已被棄用如果目標(biāo)環(huán)境是Win10以上建議改用PowerShell的Get-CimInstance。另外虛擬機(jī)環(huán)境下主板序列號(hào)可能是空的需要做兜底處理比如用系統(tǒng)安裝時(shí)間或磁盤(pán)卷序列號(hào)替代。2.3 離線授權(quán)文件的簽名與驗(yàn)簽離線授權(quán)文件的核心是防篡改。SF授權(quán)系統(tǒng) V3.7 通常用非對(duì)稱(chēng)加密來(lái)做服務(wù)端用私鑰簽名客戶端用公鑰驗(yàn)簽。授權(quán)文件內(nèi)容一般是JSON包含授權(quán)對(duì)象、有效期、功能列表然后對(duì)JSON做簽名把簽名和JSON一起打包。import json import base64 from cryptography.hazmat.primitives import hashes, serialization from cryptography.hazmat.primitives.asymmetric import padding def generate_license(license_data, private_key_path): # license_data 是字典包含 user_id, expire_at, features payload json.dumps(license_data, sort_keysTrue).encode() with open(private_key_path, rb) as f: private_key serialization.load_pem_private_key(f.read(), passwordNone) signature private_key.sign( payload, padding.PSS( mgfpadding.MGF1(hashes.SHA256()), salt_lengthpadding.PSS.MAX_LENGTH ), hashes.SHA256() ) # 把payload和簽名一起base64編碼方便傳輸 license_file { payload: base64.b64encode(payload).decode(), signature: base64.b64encode(signature).decode() } return json.dumps(license_file) def verify_license(license_file_str, public_key_path): license_file json.loads(license_file_str) payload base64.b64decode(license_file[payload]) signature base64.b64decode(license_file[signature]) with open(public_key_path, rb) as f: public_key serialization.load_pem_public_key(f.read()) try: public_key.verify( signature, payload, padding.PSS( mgfpadding.MGF1(hashes.SHA256()), salt_lengthpadding.PSS.MAX_LENGTH ), hashes.SHA256() ) return json.loads(payload) except Exception: return None邏輯說(shuō)明generate_license用私鑰對(duì)授權(quán)數(shù)據(jù)的JSON序列化結(jié)果簽名verify_license用公鑰驗(yàn)簽。參數(shù)說(shuō)明padding.PSS是概率簽名方案比PKCS1v15更安全salt_length設(shè)為最大值增加簽名隨機(jī)性。注意私鑰必須保存在服務(wù)端絕對(duì)不能打包進(jìn)客戶端公鑰可以硬編碼在客戶端里。如果驗(yàn)簽失敗返回None客戶端應(yīng)該拒絕授權(quán)。3. 從源碼到可運(yùn)行服務(wù)環(huán)境搭建與核心接口調(diào)試3.1 服務(wù)端運(yùn)行環(huán)境與依賴安裝拿到源碼后第一步不是改代碼而是先跑起來(lái)。SF授權(quán)系統(tǒng) V3.7 的服務(wù)端通常是PHP或Python寫(xiě)的這里以Python Flask為例因?yàn)樗囊蕾嚬芾碜钋逦?。你需要?zhǔn)備Python 3.8以上、MySQL 5.7以上、Redis用于緩存卡密狀態(tài)和心跳。# 創(chuàng)建虛擬環(huán)境 python3 -m venv venv source venv/bin/activate # 安裝依賴假設(shè)源碼根目錄有requirements.txt pip install -r requirements.txt # 初始化數(shù)據(jù)庫(kù)假設(shè)有init_db.py python init_db.py # 啟動(dòng)服務(wù)假設(shè)入口是app.py export FLASK_APPapp.py export FLASK_ENVproduction flask run --host0.0.0.0 --port5000邏輯說(shuō)明虛擬環(huán)境避免污染系統(tǒng)Pythoninit_db.py通常負(fù)責(zé)建表和插入默認(rèn)管理員賬號(hào)FLASK_ENVproduction關(guān)閉調(diào)試模式避免泄露堆棧信息。參數(shù)說(shuō)明--host0.0.0.0讓服務(wù)監(jiān)聽(tīng)所有網(wǎng)卡方便外部客戶端訪問(wèn)--port5000是默認(rèn)端口如果沖突可以改成5001。注意生產(chǎn)環(huán)境不要用flask run應(yīng)該用gunicorn或uwsgiflask run只適合調(diào)試。3.2 卡密生成接口的參數(shù)與返回值卡密生成是后臺(tái)最常用的功能。SF授權(quán)系統(tǒng) V3.7 里這個(gè)接口通常叫/api/card/generate接受POST請(qǐng)求。你需要傳的參數(shù)包括生成數(shù)量、卡密類(lèi)型天卡/周卡/月卡/年卡、綁定設(shè)備數(shù)上限、過(guò)期時(shí)間。# 假設(shè)這是服務(wù)端路由的一部分 app.route(/api/card/generate, methods[POST]) def generate_cards(): # 鑒權(quán)只有管理員能調(diào)用 admin_token request.headers.get(X-Admin-Token) if not verify_admin_token(admin_token): return jsonify({code: 403, msg: 無(wú)權(quán)限}), 403 data request.get_json() count data.get(count, 1) # 生成數(shù)量 card_type data.get(card_type) # 類(lèi)型day/week/month/year max_devices data.get(max_devices, 1) # 允許綁定的設(shè)備數(shù) expire_days data.get(expire_days, 30) # 有效天數(shù) cards [] for _ in range(count): card_code generate_random_code(16) # 生成16位隨機(jī)碼 card Card( codecard_code, typecard_type, max_devicesmax_devices, expire_daysexpire_days, statusunused ) db.session.add(card) cards.append(card_code) db.session.commit() return jsonify({code: 0, msg: 成功, data: cards})邏輯說(shuō)明先鑒權(quán)再解析參數(shù)然后循環(huán)生成卡密并入庫(kù)。參數(shù)說(shuō)明count控制生成數(shù)量建議單次不超過(guò)1000避免數(shù)據(jù)庫(kù)壓力card_type決定卡密的有效期計(jì)算方式max_devices是設(shè)備綁定上限設(shè)為0表示不限制expire_days是卡密激活后的有效天數(shù)。注意generate_random_code必須用密碼學(xué)安全的隨機(jī)源比如Python的secrets模塊不要用random否則卡密可預(yù)測(cè)。3.3 客戶端激活與心跳校驗(yàn)的聯(lián)調(diào)客戶端激活流程通常是用戶輸入卡密 → 客戶端采集設(shè)備指紋 → 發(fā)送激活請(qǐng)求 → 服務(wù)端驗(yàn)證卡密并綁定設(shè)備 → 返回授權(quán)令牌。心跳校驗(yàn)則是客戶端定期比如每30分鐘發(fā)送令牌和設(shè)備指紋服務(wù)端確認(rèn)授權(quán)仍然有效。import requests import time class LicenseClient: def __init__(self, server_url, card_code): self.server_url server_url self.card_code card_code self.token None self.fingerprint get_device_fingerprint() def activate(self): resp requests.post(f{self.server_url}/api/activate, json{ card_code: self.card_code, fingerprint: self.fingerprint }) data resp.json() if data[code] 0: self.token data[data][token] return True return False def heartbeat(self): if not self.token: return False resp requests.post(f{self.server_url}/api/heartbeat, json{ token: self.token, fingerprint: self.fingerprint }) data resp.json() return data[code] 0 def run(self): if not self.activate(): print(激活失敗) return while True: if not self.heartbeat(): print(心跳失敗授權(quán)可能已失效) break time.sleep(1800) # 30分鐘一次邏輯說(shuō)明activate發(fā)送卡密和設(shè)備指紋換取令牌heartbeat定期校驗(yàn)令牌是否仍然有效。參數(shù)說(shuō)明server_url是服務(wù)端地址card_code是用戶輸入的卡密fingerprint是設(shè)備指紋。注意心跳間隔不要設(shè)太短否則服務(wù)端壓力大也不要設(shè)太長(zhǎng)否則用戶掉授權(quán)后長(zhǎng)時(shí)間無(wú)感知。1800秒是個(gè)折中值。另外心跳失敗后不要立即鎖定軟件應(yīng)該給一個(gè)寬限期比如再重試兩次避免網(wǎng)絡(luò)抖動(dòng)導(dǎo)致誤判。4. 避坑與排查授權(quán)系統(tǒng)落地時(shí)最容易翻車(chē)的五個(gè)點(diǎn)4.1 設(shè)備指紋漂移導(dǎo)致用戶頻繁掉授權(quán)現(xiàn)象用戶昨天還能用今天打開(kāi)軟件提示授權(quán)失效重新激活又好了過(guò)幾天又失效。原因設(shè)備指紋采集了不穩(wěn)定的硬件信息比如MAC地址或外接設(shè)備序列號(hào)用戶插拔U盤(pán)或切換網(wǎng)絡(luò)后指紋變了。解決只采集主板序列號(hào)和CPU ID并且做哈希前先做空值判斷如果某項(xiàng)為空用固定字符串替代不要用隨機(jī)值。另外客戶端應(yīng)該緩存首次激活時(shí)的指紋后續(xù)心跳用緩存值而不是每次重新采集。4.2 卡密被暴力枚舉現(xiàn)象后臺(tái)發(fā)現(xiàn)大量無(wú)效卡密?chē)L試記錄有人用腳本批量試卡密。原因卡密長(zhǎng)度太短或隨機(jī)性不夠比如用6位數(shù)字很容易被窮舉。解決卡密至少16位包含大小寫(xiě)字母和數(shù)字用secrets.token_urlsafe(12)生成。另外服務(wù)端要對(duì)同一IP的激活請(qǐng)求做頻率限制比如每分鐘最多5次超過(guò)就封禁10分鐘。4.3 離線授權(quán)文件被復(fù)制分發(fā)現(xiàn)象一個(gè)用戶買(mǎi)了離線授權(quán)把授權(quán)文件發(fā)給別人別人也能用。原因離線授權(quán)文件沒(méi)有綁定設(shè)備指紋或者綁定邏輯在客戶端被繞過(guò)。解決離線授權(quán)文件里必須包含設(shè)備指紋的哈?？蛻舳蓑?yàn)簽后還要比對(duì)本地指紋。如果指紋不匹配拒絕授權(quán)。注意指紋比對(duì)邏輯不要放在容易被反編譯的地方可以拆成多個(gè)函數(shù)增加破解成本。4.4 服務(wù)端時(shí)間被篡改導(dǎo)致授權(quán)提前過(guò)期現(xiàn)象用戶把系統(tǒng)時(shí)間改到未來(lái)授權(quán)立刻過(guò)期或者改到過(guò)去授權(quán)永久有效。原因客戶端用本地時(shí)間判斷有效期而不是服務(wù)端時(shí)間。解決在線授權(quán)以服務(wù)端返回的過(guò)期時(shí)間為準(zhǔn)客戶端只做展示離線授權(quán)在生成文件時(shí)把過(guò)期時(shí)間用服務(wù)端私鑰簽名客戶端驗(yàn)簽后以簽名里的時(shí)間為準(zhǔn)本地時(shí)間只做參考。如果本地時(shí)間和簽名時(shí)間差距超過(guò)24小時(shí)提示用戶校準(zhǔn)時(shí)間。4.5 數(shù)據(jù)庫(kù)明文存儲(chǔ)卡密和令牌現(xiàn)象數(shù)據(jù)庫(kù)被拖庫(kù)所有卡密和令牌泄露攻擊者可以直接用。原因卡密和令牌在數(shù)據(jù)庫(kù)里是明文。解決卡密存儲(chǔ)時(shí)做哈希比如SHA256驗(yàn)證時(shí)比對(duì)哈希值令牌可以用JWT設(shè)置較短的有效期并且服務(wù)端維護(hù)一個(gè)黑名單用于主動(dòng)吊銷(xiāo)。注意卡密哈希后無(wú)法反查所以后臺(tái)展示卡密時(shí)只能展示一次生成后立即讓管理員保存。5. 進(jìn)階技巧用授權(quán)系統(tǒng)做功能分級(jí)與動(dòng)態(tài)續(xù)期5.1 功能分級(jí)把授權(quán)從“能用”變成“能用多少”很多授權(quán)系統(tǒng)只做“能用/不能用”的二元判斷但實(shí)際業(yè)務(wù)里用戶可能買(mǎi)了基礎(chǔ)版想試用高級(jí)功能。SF授權(quán)系統(tǒng) V3.7 的源碼里授權(quán)數(shù)據(jù)通常有一個(gè)features字段可以是一個(gè)數(shù)組或位掩碼。我一般會(huì)把它設(shè)計(jì)成位掩碼每個(gè)位代表一個(gè)功能模塊。# 功能位定義 FEATURE_BASIC 1 0 # 基礎(chǔ)功能 FEATURE_EXPORT 1 1 # 導(dǎo)出功能 FEATURE_BATCH 1 2 # 批量處理 FEATURE_API 1 3 # API訪問(wèn) def check_feature(license_data, feature): return (license_data[features] feature) feature # 生成授權(quán)時(shí)按套餐設(shè)置features def build_features(plan): if plan basic: return FEATURE_BASIC elif plan pro: return FEATURE_BASIC | FEATURE_EXPORT | FEATURE_BATCH elif plan enterprise: return FEATURE_BASIC | FEATURE_EXPORT | FEATURE_BATCH | FEATURE_API邏輯說(shuō)明用位運(yùn)算做功能開(kāi)關(guān)一個(gè)整數(shù)就能表示所有功能組合。參數(shù)說(shuō)明FEATURE_BASIC等常量是2的冪check_feature用按位與判斷是否包含某個(gè)功能。注意位掩碼最多支持64個(gè)功能Python整數(shù)無(wú)上限但數(shù)據(jù)庫(kù)字段要選BIGINT如果功能超過(guò)64個(gè)改用JSON數(shù)組。5.2 動(dòng)態(tài)續(xù)期讓用戶在不重新激活的情況下延長(zhǎng)授權(quán)用戶續(xù)費(fèi)后如果要求他重新輸入卡密、重新激活體驗(yàn)很差。更好的做法是服務(wù)端在收到續(xù)費(fèi)請(qǐng)求后直接更新數(shù)據(jù)庫(kù)里的過(guò)期時(shí)間客戶端下次心跳時(shí)自動(dòng)獲取新的過(guò)期時(shí)間。這要求心跳接口返回當(dāng)前授權(quán)的完整狀態(tài)而不僅僅是“有效/無(wú)效”。app.route(/api/heartbeat, methods[POST]) def heartbeat(): data request.get_json() token data.get(token) fingerprint data.get(fingerprint) license verify_token_and_fingerprint(token, fingerprint) if not license: return jsonify({code: 401, msg: 授權(quán)無(wú)效}) # 返回最新授權(quán)狀態(tài)包括過(guò)期時(shí)間和功能列表 return jsonify({ code: 0, data: { expire_at: license.expire_at.isoformat(), features: license.features, max_devices: license.max_devices } })邏輯說(shuō)明心跳接口不僅校驗(yàn)授權(quán)還返回最新的過(guò)期時(shí)間和功能列表客戶端收到后更新本地緩存。參數(shù)說(shuō)明expire_at是ISO格式的時(shí)間字符串客戶端解析后用于展示features是位掩碼客戶端用同樣的位定義判斷功能是否可用。注意心跳接口的返回?cái)?shù)據(jù)不要包含敏感信息比如用戶ID或訂單號(hào)只返回授權(quán)相關(guān)的字段。5.3 授權(quán)回收用戶退款或違規(guī)時(shí)如何立即失效用戶退款后授權(quán)必須立即失效不能等到過(guò)期。做法是在服務(wù)端維護(hù)一個(gè)吊銷(xiāo)列表心跳時(shí)先查吊銷(xiāo)列表如果在里面直接返回?zé)o效。吊銷(xiāo)列表可以用Redis的Set實(shí)現(xiàn)查詢O(1)。import redis r redis.Redis(hostlocalhost, port6379, db0) def revoke_license(token): # 把token加入吊銷(xiāo)列表設(shè)置過(guò)期時(shí)間為token原本的有效期 r.sadd(revoked_tokens, token) r.expire(revoked_tokens, 86400 * 365) # 保留一年 def is_revoked(token): return r.sismember(revoked_tokens, token)邏輯說(shuō)明revoke_license把令牌加入Redis的Setis_revoked判斷令牌是否在Set里。參數(shù)說(shuō)明86400 * 365是Set的過(guò)期時(shí)間設(shè)為一年避免Redis無(wú)限增長(zhǎng)。注意如果令牌是JWT且有效期很短比如1小時(shí)吊銷(xiāo)列表的過(guò)期時(shí)間可以設(shè)短一些比如24小時(shí)因?yàn)镴WT過(guò)期后自然失效。5.4 一個(gè)我踩過(guò)的坑心跳接口的冪等性早期做授權(quán)系統(tǒng)時(shí)心跳接口沒(méi)有做冪等客戶端每次心跳都會(huì)更新數(shù)據(jù)庫(kù)里的last_heartbeat字段導(dǎo)致數(shù)據(jù)庫(kù)寫(xiě)入頻繁。后來(lái)改成心跳只讀不寫(xiě)last_heartbeat用Redis緩存每10分鐘才落一次數(shù)據(jù)庫(kù)。這樣數(shù)據(jù)庫(kù)壓力小了但要注意Redis和數(shù)據(jù)庫(kù)的一致性——如果Redis掛了last_heartbeat會(huì)丟失但授權(quán)本身不受影響因?yàn)槭跈?quán)狀態(tài)在數(shù)據(jù)庫(kù)里。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取