网络中是否存在不对称授权之类的问题？

Question

我有一个专用API，我希望第三方客户端在不向客户端发送敏感信息（例如密码）的情况下进行授权。在这种情况下，通常的流程是：

• 我们给客户一个秘密的一次性令牌
• 激活此令牌后（例如，使用此令牌调用api），他可以通过提供密码来创建帐户。
• 客户使用此密码授权并收到秘密令牌
• 此秘密令牌与每个api调用一起使用。

此流程的问题是当我们向他发送一次令牌时。如果有人先使用它，他将收到他想要的所有数据。

各处都使用Atm非对称加密，https（ssl）以此为基础。我想知道是否存在非对称身份验证。我看到的是：

• 客户端和服务器生成2个魔术令牌client_private_token，client_secret_token，server_public_token，server_secret_token。
• 例如，我们将对手的公共令牌保存在双方的设置文件中。
• 服务器回复server_public_token
• 客户端使用client_private_token生成一些session_token并将其与每个需要授权的请求一起发送
• 服务器使用其server_private_token和user_public_token来验证此session_token是否有效。

该流程与ssl非常相似，但是我们没有加密数据，而是生成了证明它是我们的魔术字符串。

请不要将其与JWT混淆，因为JWT只是带有某些信息和服务器签名的有效负载。要创建JWT用户，首先需要授权。

如果有这样的事情，那么拥有java，js，python等现代语言的客户也是很棒的