Cookie、Session、Token（JWT）还不懂？

于 2024-09-28 15:20:33 发布
阅读量506 收藏 15
点赞数 15
文章标签： java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_62097431/article/details/142554658
版权

Cookie、Session、Token（JWT）

三者的区别与用途！如何进行身份认证，保持用户登录状态？

Cookie、Session 和 Token 都是在 Web 开发中用于管理用户状态和进行身份认证的技术，它们之间有以下区别和用途：

一、Cookie

  1. 含义：Cookie 是存储在用户浏览器中的一小段数据。它由服务器发送到客户端，客户端在后续请求中会将 Cookie 发送回服务器。

  2. 用途：

    • 存储用户偏好设置：例如，用户选择的语言、主题等可以存储在 Cookie 中，以便在用户下次访问时恢复这些设置。

    • 跟踪用户会话：通过设置一个会话 ID 的 Cookie，可以在多个请求之间跟踪用户的会话。

  3. 特点：

    • 存储在客户端：这意味着用户可以查看和修改 Cookie 的内容（虽然通常不建议这样做）。

    • 有大小限制：一般来说，Cookie 的大小不能超过 4KB。

二、Session

  1. 含义：Session 是在服务器端存储的用户会话数据。当用户登录或进行其他需要身份认证的操作时，服务器会创建一个 Session，并为其分配一个唯一的 Session ID。

  2. 用途：

    • 存储用户登录状态：服务器可以在 Session 中存储用户的登录信息，以便在后续请求中验证用户的身份。

    • 保存用户特定的数据：例如，在购物网站中，服务器可以在 Session 中存储用户的购物车内容。

  3. 特点：

    • 存储在服务器端：相比 Cookie，Session 数据更加安全，因为用户无法直接访问和修改服务器端的数据。

    • 依赖 Cookie 或 URL 重写：通常，服务器会通过在 Cookie 中存储 Session ID 来跟踪用户的 Session。如果客户端不支持 Cookie，也可以使用 URL 重写的方式将 Session ID 附加到 URL 中。

    • 占用服务器资源，扩张性差（分布式集群，登录时只存储到了一台服务器，负载均衡时，访问到其他服务器就没有该session显示未登录），依然需要依赖cookie跨域限制

三、Token

  1. 含义：Token 是一种包含用户身份信息的加密字符串。它由服务器生成并发送给客户端，客户端在后续请求中携带 Token 以证明自己的身份。

  2. 用途：

    • 无状态身份认证：Token 可以在无状态的环境中进行身份认证，例如 RESTful API。服务器不需要存储 Session 数据，只需要验证 Token 的有效性即可。

    • 跨域身份认证：Token 可以在不同的域之间进行身份认证，因为它是独立于特定的服务器会话的。

  3. 特点：

    • 自包含：Token 中包含了用户的身份信息，因此服务器不需要在其他地方存储用户的状态。

    • 可扩展性：Token 可以很容易地与第三方服务集成，因为它们不依赖于特定的服务器会话。

四、JWT

JSON Web Token，就是通过JSON来进行传递的加密后字符串。

JSON Web Token（JWT）是一种开放标准（RFC 7519），它定义了一种紧凑且自包含的方式，用于在各方之间安全地传输信息作为 JSON 对象。JWT 由三部分组成，分别用点（.）分隔，这三部分分别是：

一、头部（Header）

  1. 组成内容：通常由两部分组成，令牌的类型（即 “JWT”）和所使用的签名算法，例如 HMAC SHA256 或 RSA。

  2. 示例：{"typ":"JWT","alg":"HS256"}。这表示是一个 JWT，并且使用 HMAC SHA256 算法进行签名。

  3. 编码方式：这个 JSON 对象会使用 Base64Url 编码方式进行编码，生成 JWT 的第一部分。

二、载荷（Payload）

  1. 包含信息：载荷部分包含声明（claims），声明是关于实体（通常是用户）和其他数据的声明。声明有三种类型：注册声明、公开声明和私有声明。

    • 注册声明：预定义的声明，如 “iss”（issuer，签发者）、“exp”（expiration time，过期时间）、“sub”（subject，主题）、“aud”（audience，受众）等。

    • 公开声明：可以由使用 JWT 的各方定义的自定义声明。但为了避免冲突，应该在一个命名空间中定义它们，如 “https://example.com/claims”。

    • 私有声明：在同意使用它们的各方之间共享的自定义声明，通常用于在特定的应用程序上下文中传递特定的信息。

  2. 示例：{"sub":"1234567890","name":"John Doe","admin":true}。在这个例子中，“sub” 是主题，可能是用户的唯一标识符；“name” 是用户的名字；“admin” 是一个自定义的声明，表示用户是否是管理员。

  3. 编码方式：同样使用 Base64Url 编码方式进行编码，生成 JWT 的第二部分。前端也就可以通过截取第二部分信息，通过Base64编码解析获得相关信息

三、签名（Signature）

  1. 生成方式：签名是对头部和载荷的签名，用于验证消息的完整性和真实性，并防止篡改。签名是使用头部（header）中指定的签名算法，对头部和载荷进行签名（自己知道的私钥，通过算法加密）生成的。例如，如果使用 HMAC SHA256 算法，签名是通过将头部和载荷的 Base64Url 编码后的字符串连接起来，使用一个密钥进行 HMAC SHA256 哈希生成的。

  2. 示例：假设使用密钥 “secret” 和 HMAC SHA256 算法，对前面的头部和载荷进行签名，生成的签名可能是 “eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.signature_here” 中的 “signature_here” 部分。

  3. 作用：接收方可以使用相同的密钥和算法对头部和载荷进行签名验证，如果生成的签名与接收到的签名一致，则说明消息没有被篡改。

例如，一个完整的 JWT 可能看起来像这样：

eyJhbGci0iJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VybmFtzSI6I1h1c2h1IiwicmVhbG5hbWui0iLlvpDlurYifQ.SBKBBM9fBaBEZ71SbzRxn91xfvtvKq6C-XNezgoZBWw

总之，JWT 的三部分组成提供了一种安全、紧凑的方式来在各方之间传输信息，并且可以通过签名验证消息的完整性和真实性。

五、如何进行身份认证和保持用户登录状态

  1. 使用Cookie：

  • 先发送请求到服务端

  • 服务端响应中set-cookie参数上添加上用户登录信息

  • 在每次请求中携带上cookie信息

  1. 使用 Cookie 和 Session：

  • 用户登录时，服务器验证用户的凭据，如果验证成功，服务器创建一个 Session，并在 Session 中存储用户的登录信息。然后，服务器将 Session ID 作为一个 Cookie 返回给客户端。

  • 在后续请求中，客户端会自动将 Cookie 发送回服务器，服务器通过 Session ID 找到对应的 Session，从而验证用户的身份并获取用户的状态信息。

  • 为了保持用户登录状态，服务器可以设置 Cookie 的过期时间，或者在用户进行某些操作时刷新 Cookie 的过期时间。

  1. 使用 Token：

  • 用户登录时，服务器验证用户的凭据，如果验证成功，服务器生成一个 Token，并将其返回给客户端。

  • 在后续请求中，客户端将 Token 作为一个请求头或参数发送给服务器。服务器验证 Token 的有效性，如果有效，则认为用户已经登录。

  • 为了保持用户登录状态，服务器可以在 Token 中设置过期时间，或者在 Token 即将过期时生成一个新的 Token 并返回给客户端。

例如，在一个基于 Spring Boot 的 Web 应用中，可以使用 Spring Security 来实现基于 Cookie 和 Session 的身份认证，也可以使用 JWT（JSON Web Token）来实现基于 Token 的身份认证。以下是一个使用 JWT 实现身份认证的示例：

 import io.jsonwebtoken.Jwts;
 import io.jsonwebtoken.SignatureAlgorithm;
 import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
 import org.springframework.security.core.Authentication;
 import org.springframework.security.core.userdetails.UserDetails;
 import org.springframework.security.core.userdetails.UserDetailsService;
 import org.springframework.web.filter.OncePerRequestFilter;
 ​
 import javax.servlet.FilterChain;
 import javax.servlet.ServletException;
 import javax.servlet.http.HttpServletRequest;
 import javax.servlet.http.HttpServletResponse;
 import java.io.IOException;
 import java.util.Date;
 ​
 public class JwtAuthenticationFilter extends OncePerRequestFilter {
 ​
     private final UserDetailsService userDetailsService;
     private final String secret;
 ​
     public JwtAuthenticationFilter(UserDetailsService userDetailsService, String secret) {
         this.userDetailsService = userDetailsService;
         this.secret = secret;
     }
 ​
     @Override
     protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
             throws ServletException, IOException {
 ​
         String token = getTokenFromRequest(request);
         if (token!= null &&!token.isEmpty()) {
             try {
                 String username = Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody().getSubject();
                 UserDetails userDetails = userDetailsService.loadUserByUsername(username);
                 Authentication authentication = new UsernamePasswordAuthenticationToken(userDetails, null, userDetails.getAuthorities());
                 SecurityContextHolder.getContext().setAuthentication(authentication);
             } catch (Exception e) {
                 // Token 无效，不进行身份认证
             }
         }
 ​
         filterChain.doFilter(request, response);
     }
 ​
     private String getTokenFromRequest(HttpServletRequest request) {
         String bearerToken = request.getHeader("Authorization");
         if (bearerToken!= null && bearerToken.startsWith("Bearer ")) {
             return bearerToken.substring(7);
         }
         return null;
     }
 ​
     public String generateToken(String username) {
         Date expirationDate = new Date(System.currentTimeMillis() + 86400000); // 1 day expiration
         return Jwts.builder()
                .setSubject(username)
                .setExpiration(expirationDate)
                .signWith(SignatureAlgorithm.HS512, secret)
                .compact();
     }
 }

在这个示例中，JwtAuthenticationFilter类实现了一个 Spring Security 的过滤器，用于从请求中提取 JWT Token，并进行身份认证。如果 Token 有效，过滤器会创建一个Authentication对象，并将其设置到SecurityContextHolder中，以便后续的请求可以获取用户的身份信息。

总之，Cookie、Session 和 Token 都有各自的特点和用途，可以根据具体的应用场景选择合适的技术来进行身份认证和保持用户登录状态。

G丶AEOM
关注
cookie、session和Token的区别？JWT又是什么？单点登录又是什么？头大？快进来看看，一文帮你捋清楚~
LYJbao的博客
11-06 441
JWT是JSON WEB TOKEN的缩写，它是基于RFC7519标准定义的一种可以安全传输读的JSON对象，由于使用了数字签名，所以是可信任和安全全的。之所以使用JWT，是因为Token是属于无状态的，每个人定制的规则不同，生成的的结果就会不同。所以目前，多数都是采用JWT为统一令牌标准~业务线越来越多，就会有更多业务系统分散到不同域名下，就需要「一次登录，全线通用」的能力，叫做「单点登录」。
熬夜彻底搞懂Cookie Session Token JWT
码农小胖哥
08-19 911
一切的根源就是因为 HTTP 是一个无状态的协议。HTTP 是一个无状态的协议什么是无状态呢？就是说这一次请求和上一次请求是没有任何关系的，互不认识的，没有关联的。看过电影《夏洛特烦恼》的...
Cookie、Session、Token、JWT详细介绍
AN_NI_112的博客
07-02 1158
Cookie、Session、Token详细介绍
Cookie、Session、Token、JWT区别？
sxp知识共享
03-24 602
Cookie、Session、Token、JWT 1、什么是认证（Authentication） 一句话就是：验证当前用户的身份，证明“你是你自己”（比如：你每天上下班打卡，都需要通过指纹打卡，当你的指纹和系统里录入的指纹相匹配时，就打卡成功） 互联网中的认证： 用户名密码登录 邮箱发送登录链接 手机号接收验证码 只要你能收到邮箱/验证码，就默认你是账号的主人 2、什么是授权（Authorization） 一句话就是：用户授予第三方应用访问该用户某些资源的权限 你在安装手机应用的时候，APP 会询问
一文彻底搞懂cookie、session、token、jwt！
酷奇的博客
03-02 1215
角度一：是否有状态 Cookie、Storage、Session 是有状态的，都用于存储用户信息。 Token、JWT 是无状态的，用于户身份验证的，不存储用户信息，实际上Token还是有状态的，因为需要在服务器保存一些属性用于验证Token，JWT真正做到了无状态。 角度二：存储位置 Cookie、Storage是浏览器存储数据方案 Session是服务器存储数据方案 角度三：创建者 Cookie、Sessin、Token、JWT都是由服务器生成 角度四：传输方式 通过HTTP请求头或请求参数传输
Cookie、Session、Token、JWT 、JWE详解
weixin_52438357的博客
01-31 1135
Cookie是由web服务器创建并存储在用户浏览器中的一小段文本信息。当浏览器访问服务器时，服务器会向浏览器发送Cookie。此后，每当浏览器再次访问同一服务器时，浏览器会自动将该Cookie发送到服务器，以此来通知服务器用户之前的活动。无状态的HTTP：HTTP协议本身是无状态的，这意味着每次请求都是独立的，服务器无法从一个请求中了解到另一个请求的信息。因此，需要某种机制来维持一个用户的状态跨多个页面请求或网站访问。会话管理：Session是一种在服务器端保持用户状态的机制。
cookie session token jwt
JiAyInNnNnN123的博客
01-09 416
使用 cookie 时需要考虑的问题 因为存储在客户端，容易被客户端篡改，使用前需要验证合法性 不要存储敏感数据，比如用户密码，账户余额 使用 httpOnly 在一定程度上提高安全性 尽量减少 cookie 的体积，能存储的数据量不能超过 4kb 设置正确的 domain 和 path，减少数据传输 cookie 无法跨域 一个浏览器针对一个网站最多存 20 个Cookie，浏览器一般只允许存放...
Cookie、session、token、JWT
热门推荐
mundo.wang的个人博客
10-14 1万+
cookie存储在客户端，请求后，服务器发送回浏览器，浏览器在下次向同一服务器发送请求时，作为参数携带，并发送到服务器上。cookie是一个具体的东西，指的是浏览器实现的一种数据存储功能。cookie是不可跨域的，每个cookie绑定单一的域名。cookie是name=value键值对。session是基于cookie实现的，session存储在服务器端，sessionID 会被存储到客户端的cookie中。
Cookie、Session、Token详解及基于JWT的Token实现的用户登陆身份认证
FLJS_T的博客
03-20 1260
Cookie就是一些数据，用于存储服务器返回给客服端的信息，客户端进行保存。在下一次访问该网站时，客户端会将保存的cookie一同发给服务器，服务器再利用cookie进行一些操作。Cookie只支持浏览器，不支持app端。Session在网络应用中称为“会话控制”，是服务器为了保存用户状态而创建的一个特殊的对象。简而言之，session就是一个对象，用于存储信息。Token是“令牌”的意思。
Cookie、Session、Token 和 JWT 的区别与应用
记录个人成长, 分享好用资源
07-23 813
在Web开发中，Cookie、Session、Token 和 JWT 是常用的状态管理和身份验证机制。它们各有优缺点和适用场景。本文将详细介绍它们的定义、特点、用途、生命周期，并通过实际例子展示它们的应用。
Cookie、Session、Token、JWT.xmind
01-30
Cookie、Session、Token、JWT.xmind
Cookie Session Token 与 JWT 解析
weixin_45898624的博客
06-25 1208
对登录功能的解析
面试题：说说 Cookie、Session、Token、JWT？
xuxu96
12-03 550
通俗地讲就是验证当前用户的身份，证明“你是你自己”（比如：你每天上下班打卡，都需要通过指纹打卡，当你的指纹和系统里录入的指纹相匹配时，就打卡成功）互联网中的认证：用户名密码登录邮箱发送登录链接手机号接收验证码只要你能收到邮箱/验证码，就默认你是账号的主人用户授予第三方应用访问该用户某些资源的权限你在安装手机应用的时候，APP 会询问是否允许授予权限（访问相册、地理位置等权限）你在访问微信小程序时，当登录时，小程序会询问是否允许授予权限（获取昵称、头像、地区、性别等个人信息）
工厂模式的介绍及实现
户伟伟的博客
09-25 101
工厂模式（Factory Pattern）是一种创建型设计模式，提供了一种创建对象的接口，而无需显式指定对象的具体类。在这种模式中，我们通过定义一个工厂类，专门负责生产各种类型的对象，这样我们可以避免直接在代码中实例化具体类，使代码更具扩展性、灵活性和维护性。解耦：客户端代码与具体的类解耦，避免了对象创建逻辑的重复。简化对象创建：通过工厂统一管理对象的创建逻辑，使代码更清晰易懂。扩展性强：新增类时，只需在工厂中增加创建逻辑，而不必修改现有的业务代码。
Spring Boot 学习和使用
cesske的博客
09-24 1021
Spring Boot是一款开源的Java Web应用框架，旨在简化Spring应用的初始搭建以及开发过程。Spring Boot通过整合Spring技术栈中的诸多关键组件，为开发者提供了一种快速、简便的Spring应用开发方式。它遵循“约定优于配置”的原则，通过自动配置、起步依赖和内置的Servlet容器，极大地简化了传统Spring应用的配置和部署过程。Spring Boot通过其自动化配置、起步依赖、内嵌服务器等特性，极大地简化了Spring应用的开发和部署过程。
基于Hive和Hadoop的哔哩哔哩网站分析系统
最新发布
图南的博客
09-27 236
本项目是一个基于大数据技术的哔哩哔哩平台分析系统，旨在为用户提供全面的哔哩哔哩视频数据和深入的用户行为分析。系统采用 Hadoop 平台进行大规模数据存储和处理，利用 MapReduce 进行数据分析和处理，通过 Sqoop 实现数据的导入导出，以 Spark 为核心进行高效的数据处理。整个系统结合了大数据处理技术，为用户提供精准的内容推荐和深入的用户兴趣分析，帮助平台更好地了解视频趋势和用户需求。
基于JavaWeb开发的Java+SpringMvc+vue+element实现驾校管理系统详细设计
央顺科技官方博客
09-24 851
机遇与挑战始终并存。在开放的互联网平台面前，驾校预约管理系统的信息管理面临着巨大的挑战。传统的管理模式局限于简单数据的管理，无法适应不断变化的市场格局。在早期阶段，在将计算机技术和网络技术融入驾校预约管理系统数据管理方法之前，所有管理方式都通过人工操作完成了管理信息的。系统管理也都将通过计算机进行整体智能化操作，对于驾校预约管理系统所牵扯的管理及数据保存都是非常多的，举例像所有详细信息包括，管理员；首页、个人中心、学员管理、驾校教练管理、驾校车辆管理、预约管理、取消预约管理、驾校公告管理、系统管理。
智能BI平台项目
2302_79400545的博客
09-22 228
BI商业智能：数据可视化、报表可视化系统。
Java Alibaba Druid 数据库连接池
miracle的专栏
09-24 725
在Java开发中，数据库连接池是性能优化的重要一环。而作为一款强大的数据库连接池解决方案，凭借其和对多种数据库的支持，成为了许多企业级应用的首选。本篇文章将介绍Druid的核心特性，并结合不同数据库的实际用法。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值