Cookie、Session、Token、JWT简单说明

一、什么是 Cookie？

1.HTTP 是无状态的协议：每个请求都是完全独立的，服务端无法确认当前访问者的身份信息，无法分辨上一次的请求发送者和这一次请求的发送者是不是同一个客户端。服务器与浏览器为了进行会话跟踪，就必须主动的去维护一个状态，这个状态用于告诉服务端前后两个请求是否来自同一个浏览器。这个状态就需要通过 Cookie 或者 Session 来实现

2.Cookie 存储在客户端：Cookie 是服务器发送到用户浏览器，并进行保存到本地的数据，它会在浏览器下次向同一服务器再发起请求时被再一次被带到并发送到服务器上面

3.Cookie 是不可跨域名：每个 Cookie 都会绑定单一的域名，无法在别的域名下获取使用

二、什么是 Session？

1.Session 是区别 Cookie 的另一种记录服务器和客户端会话状态的机制
2.Session 是基于Cookie 实现的，Session 存储在服务器端，Sessionid 会被存储到客户端的 Cookie 中

3.Session 认证流程

a.用户第一次请求服务器的时候，服务器根据用户提交的相关信息，创建对应的 Session

b.服务器响应客户端的请求，并返回唯一标识信息Sessionid 给浏览器

c.浏览器把返回的Sessionid 存储到 Cookie 中，同时Cookie 记录次Sessionid 属于哪个域名

d.当用户第二次访问服务器的时候，请求自动判断此域名下是否存在 Cookie 信息，如果存在就将Cookie 信息发送给服务端，服务端会从 Cookie 中获取 sessionid，再根据 sessionid 查找对应的 Session 信息，如果找到 Session 证明用户已经登录，可以执行后面操作，如果没有找到，说明用户没有登录或者失败

Cookie 和 Session 的区别

1.安全性：Session 比 Cookie 安全，Session 是存储在服务器端，Cookie 是存储在客户端

2.存储值的类型不同：Cookie 只支持存字符串数据，设置为其它类型的数据，需要将其转换成字符串，Session 可以存任意数据类型。

3.有效期不同：Cookie 可设置为长时间保持，Session 的失效时间比较短，客户端关闭就会失效

4.存储大小不同：单个 Cookie 保持的数据不能超过 4KB，Session 存储数据高于 Cookie，当访问量过多，会占用更多的服务器资源。

三、什么是 Token（令牌）？

1.访问接口（API）时所需要的资源凭证，比如订单接口需要带上登录返回的 token 值，才能访问订单接口数据

2.常见的 token 组成：UID（用户唯一的身份标识）、time（当前时间的时间戳）、sign（签名，token+ 请求数据进行几次 md5 之后的值）

3.Token 的特点：服务端无状态化、可扩展性好；支持移动端设备；安全性好；支持跨程序调用

Token 的身份验证流程：

①、客户端使用用户名和密码，请求登录

②、服务端收到请求，验证用户名和密码

③、验证成功之后，服务端返回一个 token，并把这个 token 发送给客户端

④、客户端收到 token 之后，会把它存储起来，放入 Cookie 里面

⑤、客户端每次想服务器请求资源的时候，都需要带着这个 token

⑥、服务端收到请求的时候，验证客户端请求里面带着的 token，如果验证成功，就向客户端返回请求的数据

4.每一次请求都需要携带 token，需要把 token 放到 HTTP 的请求头里面，基于 token 的用户认证，服务端不用存放 token 数据。

Token 和 Session 的区别

1.Session 是一种记录服务器和客户端会话状态的机制，使服务端有状态化，可以记录会话信息。

2.Token 是一种令牌，访问接口(API)时需要的凭证，也像古代进入到城里需要腰牌一样，Token 使服务器无状态化，不会存储会话信息。

3.Token 的安全性要好于 Session，每次请求都有签名，也就会出现每次的 Token 都会变化，也可以防止一定的攻击、

四、什么是 JWT？

1.JSON Web Token（简称 JWT）是目前最流行的跨越认证解决方案，是一种认证授权机制

2.JMT 是在网络应用环境之间传递声明，而执行的一种基于 JSON 的开发标准

JWT 的认证流程：

①、用户输入用户名/密码登录，服务器认证成功之后，会返回一个 JWT 给客户端

②、客户端将 token 保存到本地（通常使用 localstorge）

③、当用户访问一个受保护的路由或者资源的时候，需要请求头的 Authorization 字段中使用 Bearer 模式添加 JWT

④、服务端的保护路由将会检查请求头 Authorization 中的 JWT 信息，如果合法，则允许用户的行为

⑤、JWT 内部保护了一些会话信息，减少了需要查询数据库的需要

⑥、JWT 并不使用 Cookie，可以使用任何域名提供你的 API 服务，不需要担心跨域的问题

⑦、用户的状态不存储在服务端的内存中，是一种无状态的认证机制

Token 和 JWT 的区别

1.相同点：

• 都是访问资源的令牌
• 都可以记录用户的信息
• 都是使服务端无状态化
• 都是只有验证成功后，客户端才能访问服务端上受保护的资源

2.两者的区别：

• Token：服务端验证收到客户端发送过来的 Token 时，需要查询数据库获取用户信息，验证 Token 是否有效
• JWT：将 Token 和请求信息加密后存储在客户端，服务端只需要使用密钥进行校验即可，不需要查询或者减少查询数据库，因为 JWT 自己包含了用户信息和加密的数据

3.常见的前后端鉴权方式：

• Session-Cookie
• Token 验证（包括 JWT，sso）
• Oauth2.0