JWT 导图

简介

web 用户保持

• 一般情况下，web项目都是通过session进行认证，每次请求数据时，都会把sessionid放在cookie中，以便与服务端保持会话。
• 前后端分离项目中，通过token进行认证（登录时，生成唯一的token凭证），每次请求数据时，都会把token放在header中，服务端解析token，并确定用户身份及用户权限，数据通过json交互。
  
  token一般都是UUID生成的一个随机码，作为一个key使用，从缓存中获取具体的用户信息。所以一般需要一个存储介质来保存token和用户信息。在一些场景中，如单点登录时候有点麻烦。
• jwt 也算是一个特殊的token，不过jwt中自带了用户的相关信息，所以不需要存储介质，只需要验证签名保证安全的前提下就可以直接获取到用户的相关信息。

回顾 session，cookie

• 我们都知道http是无状态的，所以需要某种机制来识别用户和保存用户的状态。而这个机制就是session。session是保存在服务端的，服务器通过session辨别用户，然后做权限认证等。
• 那如何才知道用户的session是哪个？这时候cookie就出场了，浏览器第一次与服务器建立连接的时候，服务器会生成一个sessionid返回浏览器，浏览器把这个sessionid存储到cookie当中，以后每次发起请求都会在请求头cookie中带上这个sessionid信息，所以服务器就是根据这个sessionid所以key获取到具体session。