关于Session与Token

关于Session

HTTP协议是无状态的协议，即：从协议本身并没有约定需要保存用户状态！表现为：某个客户端访问了服务器之后，后续的每一次访问，服务器都无法识别出这是前序访问的客户端！

在传统的解决方案中，可以从技术层面来解决服务器端识别客户端并保存相关数据的问题，例如使用Session机制。

Session的本质是保存在服务器端的内存中的类似Map结构的数据，每个客户端都有一个属于自己的Key，在服务器端有对应的Value，就是Session。

关于客户端提交请求时的Key：当某客户端第1次向服务器端提交请求时，并没有可用的Key，所以并不携带Key来提交请求，当服务器端发现客户端没有携带Key时，就会响应一个Key到客户端，客户端会将这个Key保存下来，并在后续的每一次请求中自动携带这个Key。并且，服务器端为了保证各个Key不冲突，会使用UUID算法来生成各个Key。由于这些Key是用于访问Session数据的，所以，一般称之为Session ID。

基于Session的特点，在使用时，可能存在一些问题：

• 不能直接用于集群甚至分布式系统
  • 可以通过共享Session技术来解决
• 将占用服务器端的内存，则不宜长时间保存

 关于Token

Token：票据，令牌

Token机制是目前主流的取代Session用于服务器端识别客户端身份的机制。

Token就类似于现实生活中的“火车票”，当客户端向服务器端提交登录请求时，就类似于“买票”的过程，当登录成功后，服务器端会生成对应的Token并响应到客户端，则客户端就拿到了所需的“火车票”，在后续的访问中，客户端携带“火车票”即可，并且，服务器端有“验票”机制，能够根据客户端携带的“火车票”识别出客户端的身份。

关于JWT

JWT：JSON Web Token，是使用JSON格式来组织多个属性于值，主要用于Web访问的Token。

JWT的本质就是只一个字符串，是通过算法进行编码后得到的结果。

在项目中，如果需要生成、解析JWT，需要添加相关依赖项，能够实现生成、解析JWT的工具包较多，可以自由选择，可参考：JSON Web Token Libraries - jwt.io

例如，在pom.xml中添加：

<!-- JJWT（Java JWT） -->
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.1</version>
</dependency>