JSON Web Token
jwt的作用： 用户授权 Authorization，不是用户身份认证 Authentication

用户授权

403 未授权，Forbidden禁止访问
用户授权：指的是，当前用户有足够的权限访问特定的资源

用户认证

401 为认证，用户未登录，Unauthorized未认证
用户认证：指的是使用用户名，密码来验证当前的用户身份

jwt的缺点

  • 无状态，token一旦发布后，就无法取消，除非自己过期
    • 设置token有效时间短
  • 明文传递，token安全性低
    • 使用 https解决

session

  • session需要保存在服务器上，sessionId需要保存在前端 cookie中
  • 用户登录后，服务器会保存登录的 session信息
  • sessionId会通过 cookie传递给前端
  • http的每次请求会带上 cookie

有状态登录

有状态登录.jpg

jwt

  • jwt信息，只需要保存在客户端中
  • jwt无状态登录优势：分布式部署
  • 无状态登录，分布式部署

无状态登录

无状态登录.jpg