安全 手机通过 api 访问服务器的类似 session 的机制该怎么处理？
如题，手机通过 api 访问服务器的类似于 session 的会话机制该怎么处理？据我所知，手机访问是不保存 session 和 cookies，那有什么比较好的处理方式了，我想到的就是利用数据库。
我的做法是
- 用户登录后服务器返回 token，每次 api 请求的时候在 http headers 里面加上这个 token。
- 用户注销之后 callback 把 token 更换掉。
- 用户的 token 可以保存在 redis（user 唯一标识符 => token）里面，然后按一定频率更新。
- 记得加上 SSL
#2 楼 @kemingcao 请教一个问题，如果别人用抓包工具，把 haaders 里面的 token 获取到，然后自己模拟，在 headers 里面加上 token，大量发送请求，这个有办法预防么？