java使用token访问url一直携带token认证_基于 JWT + Refresh Token 的用户认证实践

HTTP 是一个无状态的协议，一次请求结束后，下次在发送服务器就不知道这个请求是谁发来的了(同一个 IP 不代表同一个用户)，在 Web 应用中，用户的认证和鉴权是非常重要的一环，实践中有多种可用方案，并且各有千秋。

基于 Session 的会话管理

在 Web 应用发展的初期，大部分采用基于 Session 的会话管理方式，逻辑如下。

• 客户端使用用户名密码进行认证
• 服务端生成并存储 Session，将 SessionID 通过 Cookie 返回给客户端
• 客户端访问需要认证的接口时在 Cookie 中携带 SessionID
• 服务端通过 SessionID 查找 Session 并进行鉴权，返回给客户端需要的数据

基于 Session 的方式存在多种问题。

• 服务端需要存储 Session，并且由于 Session 需要经常快速查找，通常存储在内存或内存数据库中，同时在线用户较多时需要占用大量的服务器资源。
• 当需要扩展时，创建 Session 的服务器可能不是验证 Session 的服务器，所以还需要将所有 Session 单独存储并共享。
• 由于客户端使用 Cookie 存储 SessionID，在跨域场景下需要进行兼容性处理，同时这种方式也难以防范 CSRF 攻击。

基于 Token 的会话管理