我应该如何（如果有的话）在客户端封装访问令牌？

Question

我正在开始一个新项目，该项目必须管理许多不同API的许多访问令牌。因此，我想知道是否将访问令牌提供给实现API调用的不同类，还是应该更好地封装这些令牌。

当前，我看到两个选项：

• 每个API类都构造自己的请求（主要是HTTPS请求），从身份验证接口获取访问令牌，并以该API所需的方式将该令牌添加到请求中
• 身份验证接口接受来自API类的请求，并在实际分派请求之前向其添加令牌。

使用后一种选项，API类将永远看不到令牌，但是很难预见所有选项如何将令牌添加到请求中（标头，GET参数或完全不同的方式。）>

在这种情况下，最佳做法是什么？

我正在开始一个新项目，该项目必须管理许多不同API的许多访问令牌。所以我想知道将访问令牌提供给不同的类是否是一种好习惯...

Answer 1

通常，访问令牌包含诸如“此用户具有特权”之类的信息以及其他超出认证的与授权相关的声明。