大概流程是这样
web 应用层，
md5(IP.文件路径.其他固定信息如 UA 啥的) 存进 redis ，并作为 url 中的 hash 。
nginx 里， ngx.md5(IP.文件路径.其他固定信息如 UA 啥的)对比连接中的 hash 并读取 redis 查到时间戳。
判断时间戳是否失效。
现在想吧 UID 也放进去，不知道有什么好方法能做到避免伪造和验证用户是否登录。只有给 nginx+lua 写 cookie+session 来验证吗？
nginx.lua 上面不方便读 MySQL 数据库的~~.
谢谢诸位，