鉴权大全（cookie、session、token、jwt、单点登录），深入理解和搞懂鉴权

先从状态说起吧

众所周知http是无状态的协议，也就是说，HTTP 请求方和响应方间无法维护状态，都是一次性的，它不知道前后的请求都发生了什么。（是不是可以单纯的理解为它是一个超级无敌健忘的协议）

但有的场景下，我们需要维护状态。最典型的，一个用户登陆我们CSDN博客，发布、关注、评论，都应是在登录后的用户状态下的。那我每次打开页面你都让我登录？我能不给你差评吗？实在是太繁琐了吧。那怎么办呢？

标记

这个东西就像身份证一样，坐高铁的时候刷一下身份证就能进，坐飞机的时候刷一下身份证也能进，有了身份证你就是一个合法的人，没有它你想出入一些比较正规的场合就是会有问题。

前端存储

说完身份证，我至少要有个口袋装一下身份证吧？要求更高一点，身份证能随便放在口袋里吗？不怕丢吗？所以是不是要找一个合适的地方去放置我的身份证呢？

前端的存储方式有很多。

• 最低级的，挂到全局变量上，但这是个“体验卡”，一次刷新页面就没了
• 高端点的，存到 cookie、localStorage 等里，这属于“会员卡”，无论怎么刷新，只要浏览器没清掉或者过期，就一直拿着这个状态。

有地方存了，请求的时候就可以拼到参数里带给接口了。

COOKIE（cookie）

刚刚的方式听起来就感觉很繁琐啊，我（前端）又要存，又要拼到参数里带给接口，有没有简单高效一点的方法？毕竟懒惰是生产力发展的第一要素是不是

答案就是 cookie。

cookie 也是前端存储的一种，但相比于 localStorage 等其他方式，借助 HTTP 头、浏览器能力，cookie 可以做到前端无感知。

一般过程是这样的：

• 在提供标记的接口，通过 HTTP 返回头的 Set-Cookie 字段，直接“种”到浏览器上
• 浏览器发起请求时，会自动把 cookie 通过 HTTP 请求头的 Cookie 字段，带给接口

配置：Domain/path

身份证是好身份证，你能拿着身份证在人家America随意出入吗？那不合适了，没这么一个说法。

那cookie也是要限制空间范围的，就是通过Domain、path去设置（这里简单一说，毕竟不是今天重点）

Domain属性指定浏览器发出 HTTP 请求时，哪些域名要附带这个 Cookie。如果没有指定该属性，浏览器会默认将其设为当前 URL 的一级域名，比如 http://www.example.com 会设为 http://example.com，而且以后如果访问http://example.com的任何子域名，HTTP 请求也会带上这个 Cookie。如果服务器在Set-Cookie字段指定的域名，不属于当前域名，浏览器会拒绝这个 Cookie。
Path属性指定浏览器发出 HTTP 请求时，哪些路径要附带这个 Cookie。只要浏览器发现，Path属性是 HTTP 请求路径的开头一部分，就会在头信息里面带上这个 Cookie。比如，PATH属性是/，那么请求/docs路径也会包含该 Cookie。当然，前提是域名必须一致。

配置：Expires/Max-Age

身份证是好身份证，你拿着你三岁拍的照片的身份证，用到八十岁你还用这个身份证能行吗？这不合适了，没有这么一个说法的

那么cookie也要有时间限制，通过Expires/Max-Age去设置

Expires属性指定一个具体的到期时间，到了指定时间以后，浏览器就不再保留这个 Cookie。

Max-Age属性指定从现在开始 Cookie 存在的秒数，比如60 * 60 * 24 * 365ÿ