补充7.28

Token部分

• Refresh Token: Refresh Token 是专一针对Acess Token，使得用户在不进行任何额外的操作的情况下实现对Acess Token的刷新。
• 由于Access Token的有效期较短，当在用户进行网站访问时，如果Access Token失效了，用户可以使用Refresh Token从而获取新的Acess Token，但倘若Refresh Token也失效了，那么用户只能重新输入账号与密码。
• 而对于Refresh Token的有效期认证是在申请Access Token时生成的。

Token与Session的区别

• Session是一种记录服务器和客户端会话状态的机制，使服务端有状态化，可以记录会话信息。
• Token是令牌，访问API时所需要的资源凭证。Token使服务端无状态化，不会存储会话信息。
• 两者之间并不存在有矛盾，并且需要结合场景看，作为身份验证，Token更具有优势，因为每一个请求都有签名还能防止坚挺以及重放攻击。而Session只能依靠数据链路层来保障

**

JWT(Json Web Token) 存LocalStorage/Cookie里（生成网站：https://jwt.io/）

• 
• 用法
  • 跨域的时候，放Post请求的数据体里。
  • 在url后边加 例如http://www.example.com/user?token=xxx

Token && JWT

• 两者共同点：都是需要通过验证，验证成功后，客户端才能够访问服务器上手保护的资源。且两者本质同为Token，都使得服务端无状态化。
• 两者区别: Token: 服务端验证库护短Token，需要查询数据库验证。 JWT: 将Token和Payload加密后存储在客户端，服务端只需要使用密钥解密校验即可。