session-cookie,jwt状态保持的差异,以及优缺点

浅谈session,cookie,jwt

三者共同点:三者都是应用在web中对http无状态协议的补充,达到状态保持
cokkie:cookie中的信息是以键值对的形式储存在浏览器中的,而且在浏览器中可以直接看到数据

session:session存储在服务器中,然后发送一个cookie存储在浏览器中,cookie中存储的是session_id通过session_id请求服务器可以获取对应的session信息.

jwt:由服务器产生加密的json数据包括,header,payload,signature三部分组成,header中通常来说由token的生成算法和类型组成。payload中则用来保存相关的状态信息。signature部分由header,payload,secret_key三部分加密生成。

一、存储差异

cookie信息和jwt存储在客户端,session信息存储在服务端,但是cookie是浏览器客户端独有的。

二、优劣

cookie:

cookie优点:
1.简单性 Cookie 是一种基于文本的轻量结构,包含简单的键值对。
2.数据持久性 虽然客户端计算机上 Cookie 的持续时间取决于客户端上的 Cookie 过期处理和用户干预,Cookie 通常是客户端上持续时间最长的数据保留形式。
cookie缺点:
1.大小受到限制 ,大多数浏览器对 Cookie 的大小有 4096 字节的限制,尽管在当今新的浏览器和客户端设备版本中,支持 8192 字节的 Cookie 大小已愈发常见。
2.非常不安全,cookie将数据裸露在浏览器中,这样大大增大了数据被盗取的风险,所有我们不应该将中要的数据放在cookie中,或者将数据加密处理。
3.容易被csrf攻击,可以设置csrf_token来避免攻击。

session:

session优点:
1.session中的信息存储在服务端,相比于cookie就在一定程度上加大了数据的安全性。
2.session数据存储在服务端,相比于jwt方便进行管理,也就是说当用户登录和主动注销,只需要添加删除对应的session就可以,这样管理起来很方便。
session缺点:
1.session存储在服务端,这就增大了服务器的开销,当用户多的情况下,服务器性能会大大降低。
3、因为是基于cookie来进行用户识别的, cookie如果被截获,用户就会很容易受到跨站请求伪造的攻击。
4、用户认证之后,服务端做认证记录,如果认证的记录被保存在内存中的话,这意味着用户下次请求还必须要请求在这台服务器上,这样才能拿到授权的资源,这样在分布式的应用上,相应的限制了负载均衡器的能力。这也意味着限制了应用的扩展能力。

jwt:

jwt优点:
1、因为json的通用性,jwt可以支持跨语言请求,像JAVA,JavaScript,NodeJS,PHP等很多语言都可以使用。
2、因为有了payload部分,所以JWT可以在自身存储一些其他业务逻辑所必要的非敏感信息。
3、便于传输,jwt的构成非常简单,字节占用很小,所以它是非常便于传输的。
4、它不需要在服务端保存会话信息, 所以它易于应用的扩展,即信息不保存在服务端,不会存在session扩展不方便的情况。

jwt缺点:
1、 登录状态信息续签问题。比如设置token的有效期为一个小时,那么一个小时后,如果用户仍然在这个web应用上,这个时候当然不能指望用户再登录一次。目前可用的解决办法是在每次用户发出请求都返回一个新的token,前端再用这个新的token来替代旧的,这样每一次请求都会刷新token的有效期。但是这样,需要频繁的生成token。另外一种方案是判断还有多久这个token会过期,在token快要过期时,返回一个新的token。
2、用户主动注销。JWT并不支持用户主动退出登录,当然,可以在客户端删除这个token,但在别处使用的token仍然可以正常访问。为了支持注销,我的解决方案是在注销时将该token加入黑名单。
使用jwt注意点:
1、在payload中不应该存放敏感信息,以为该部分客户端是可以解密的。
2、secret_key不能泄露。

个人理解:

session和cookie成一套体系,session依赖于cookie,session和cookie都容易被csrf攻击,而且session类型的状态保持只能用于浏览器中的,对于用户的登录和登出,使用session会更灵活一些。
jwt是json数据适用于各种语言,跨语言请求非常方便,jwt可以存在于各种客户端,不仅仅是浏览器,扩展性更强,对数据进行加密,数据非常安全。

©️2020 CSDN 皮肤主题: 大白 设计师:CSDN官方博客 返回首页