如果被爆库，大部分攻击者要的信息已经拿到了，也可以随意篡改。所以敏感信息还要加密存储。

如果不是服务端存 token，用户解除锁定了盗用者的 token 是不是又能用了？

锁定强制重制密码 + Token 立即失效。

我以前试过，可以是可以，后来要做个一键撤销 token 之类的功能要和密码解绑，就不用了。

有时需要立即过期，例如发现账号被盗用了，失效时间就不够用了。

所以还是服务端持久化 Token 加 HTTPS 好。

JWT 作为传输的包，验证内容还是建议用 token，不然 JWT 无法失效。

另外我看很多 JWT 实现只有 JWS（sign）没有 JWE（encrypt），要注意是否符合自己的安全要求。

就算有 JWE，没有 HTTPS 一样会被劫持。

http://railscasts.com/episodes/352-securing-an-api?view=asciicast

# options 1
production:
  host: myhost
  database: somedatabase
  username: myuser
  password: mypass

# options 2
production:
  url: "postgres://myuser:mypass@myhost/somedatabase"

受不了模版审核。

顶楼啥细节都没说，我也只好把经验埋在心里。

23333 任何问题转前后端分离

值
引用
引用

http://railscasts.com/episodes/385-authorization-from-scratch-part-1?view=asciicast

https://ruby-china.org/topics/32005

https://stackoverflow.com/questions/338436/is-there-a-quick-git-command-to-see-an-old-version-of-a-file

视频开始放出，但大多数是日语。

https://www.youtube.com/playlist?list=PLbFmgWm555yaJalSEHY17E96ChjY-kF2D

https://learncodethehardway.org/ruby/ 在线免费阅读

https://book.douban.com/subject/26719727/ 中文版纸质版

👎反对这个回帖，没什么必然性。

我不想自己做，国内云盘都要实名验证比较恶心。

可以写篇博客。

学习笔记写到博客，然后这里更新目录，不要一篇一篇往论坛贴。

输入命令后什么信息也没有吗？

错误信息是什么？

什么官方？