最近在写登录功能，登录成功返回前端token，前端请求head带上token证明自己登录了。 我在想token会不会被别人获取到，如果拿到了是不是就可以调各种接口为所欲为？ 前端同时传一个签名（入参 token 时间戳 加密）是不是能防止这种情况？只要保护好秘钥 问题又来了，秘钥要放哪里才安全？ 写在代码里是不是会被反编译拿到？ 是不是有必要做“防重放”（防止被截获请求重复调用） 仅是我产生的一点小疑问，大家有什么好的意见吗