什么是JWT令牌认证？

小程序：扫一扫查出行
【扫一扫了解最新限行尾号】
复制小程序

当下，JWT（JSON Web Token）令牌认证已经变得越来越流行。本文主要介绍JWT令牌认证与传统的Session会话认证机制的区别。

为什么需要认证？

HTTP是一种无状态协议，那就意味着当前的客户端的请求与任何之前的请求是独立不依赖的，而服务器也并不会记录任何请求信息。例如，如果你只是简单地访问静态页面（例如访问 www.yiidian.com ），服务器实际上不需要知道客户端是谁，而只会给客户端返回纯粹的页面内容。另一方面，如果你想在Facebook上进行资料上的更改，则必须向一点教程网服务器证明你是该帐户的拥有者。简而言之，您需要先验证自己的身份，然后服务器才能为你提供访问敏感信息的权限。在了解JWT认证之前，我们先来看看传统的Session会话认证吧。

Session会话认证

在Session会话认证模型中，在用户登录并授权后，服务器将创建客户端唯一的Session。服务器将Session ID返回给客户端，然后客户端将其存储在浏览器的cookie中。在随后的HTTP调用中，cookie将自动包含在HTTP请求头中，服务器将通过cookie中记录的Session ID得知客户端的身份。尽管cookie存储在客户端，但是由于验证是在服务器上完成的，因此该认证模型属于服务器端会话。

说到这里，您可能会想：HTTP协议不是无状态的么？那服务器如何记住客户端的身份？

服务器端会话：实际上不是无状态的

从技术上讲，HTTP无状态协议不会禁止服务器存储信息。大多数Web应用程序都需要存储某种形式的状态，以便知道客户端的Session ID是否有效。例如，服务器可能会把Session ID存储在服务器内存，这样，只要先前经过身份验证的客户端再次发出请求，服务器就可以简单地在内存查找Session ID，并验证客户端是否已经通过了身份验证。