为什么不将其简化为以下内容？
对于第一个请求：
- 用户建立与服务器的HTTPS连接（服务不侦听其他端口），并通过POST凭据登录服务。
- 服务器使用HSTS标头进行回复，以确保所有进一步的通信都是HTTPS。
- 如果凭据有效，我们：
- 生成使用CSPRNG安全生成的随机临时令牌。使其足够长以确保安全（128位）。
- 将随机令牌存储在将其映射到实际用户名的服务器上。
- 发送随机令牌给客户端
对于后续请求：
- 客户端通过HTTPS在自定义HTTP标头中发送令牌。
- 令牌位于数据库中并映射到用户名。如果找到，则根据允许的角色和允许的操作配置访问权限。
- 如果未找到，则认为用户未经身份验证，必须再次使用登录服务进行身份验证才能获取新令牌。
在服务器端，令牌将与到期日期一起存储。每次访问该服务时，此日期都会被更新以创建滑动到期日。将有每隔几分钟运行的作业删除过期的令牌，并且检查令牌的有效会话的查询将仅检查那些未视为已过期的令牌（以防止由于预定原因导致计划的作业失败的永久会话）。
无需对数据库中的令牌进行哈希处理 和 加密-
除了通过隐晦性带来的安全感外，它没有增加任何实际价值。您可以只是散列。这样可以防止设法获得会话数据表的攻击者劫持现有的用户会话。
