理解cookie与token（JWT）

理解cookie与token（JWT）

基于cookie方式

• 用户向服务器发送用户名和密码。
• 服务器验证后，相关数据（如用户角色等）将保存在当前会话(session)中。
• 服务器向用户返回sessionId会写入到用户的Cookie。
• 用户后续请求都将通过在Cookie中取出sessionId传给服务器。
• 服务器收到sessionId并对比之前保存的数据，确认用户的身份。

cookie

• 浏览器访问网页时 自动 带上， 存储5k
• 浏览器访问网页时，会自动带上cookieid,便于服务端识别
• 当用户登录完成后会把返回的sessionid覆盖于cookieid
  session
• 服务端内存中记录的会话状态
• 当用户登录成功后，会在服务端内存中生成session对象并返回sessionid
• 目的： cookieid–sessionid 一一对应

注：cookie和session就像是男女朋友一样

chrome

• =80版本时，不再自动带cookie(http), https会带cookie
• 解决： 可以手动在header加上token(jwt)

JWT(Json Web Token)

jwt(比火车票)

• json web token
• 当登录成功后，生成jwt并返回，保存sessionstorage/localstorage
• 服务端生成jwt会指定一个有效期限，1天，2h
• 发起新请求时，取出jwt放到header中, 服务端验证jwt, 有效则可继续访问
• 服务端不再需要session

cookie&jwt

• 使用cookie简单，浏览器自带; jwt需要手动放header
• 需要占用服务端内存空间; 不会占用服务端空间
• 当session失效会话就完了；jwt有效期不受控制

数据结构：其中第一段为 header(头)，第二段为 payload (负载)，第三段为signature(签名)