登陆认证技术---(Cookie, Session和JWT )

五月茶

于 2025-05-16 11:46:44 发布

阅读量750

点赞数 20

文章标签： java spring jvm

本文链接：https://blog.csdn.net/weixin_69032308/article/details/148003002

版权

当然可以，以下是我为你润色和优化后的博客内容，题目为：登录认证技术——Cookie、Session 和 JWT。格式采用标准的 Markdown（CSDN 风格），适合发布在 CSDN 或其他技术博客平台。

登录认证技术——Cookie、Session 和 JWT

1. HTTP 协议

HTTP 是一种 无状态协议，也就是说，服务器不会记录客户端的状态信息。每次请求都是独立的，服务器无法知道你是否是“同一个用户”。这就引出了一个问题：如何在多次请求之间保持用户的登录状态？因此，我们需要使用一些认证机制来实现身份识别和会话管理。

常见的登录认证技术包括：

Cookie
Session
JWT（JSON Web Token）

下面我们将分别介绍这三种技术，并以用户名 admin、密码 123456 为例，模拟一个简单的登录认证流程，目标是：

第一次登录时查询数据库验证用户信息，之后的登录不再查询数据库。

1.1 GET 请求结构

GET 请求由三部分组成：

✅ 请求行（Request Line）

包含请求方法、路径和 HTTP 版本：

GET /login?username=admin&password=123456 HTTP/1.1

✅ 请求头（Headers）

用于传递元数据，如 Host、User-Agent 等：

Host: example.com
User-Agent: Mozilla/5.0
Accept: text/html

❌ 请求体（Body）

GET 请求通常不携带请求体，参数通过 URL 的查询字符串（Query String）传递。

1.2 POST 请求结构

POST 请求也可以分为三部分：

✅ 请求行（Request Line）

POST /login HTTP/1.1

✅ 请求头（Headers）

除了通用头部外，还需要指定 Content-Type 来说明发送的数据类型：

Host: example.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 29

✅ 请求体（Body）

POST 请求可以携带请求体，常用于提交敏感或复杂数据：

username=admin&password=123456

2. Cookie 介绍

Cookie 是服务器发送给浏览器的一小段文本信息，浏览器将其保存下来，并在下次访问相同网站时自动附加到请求中。

✅ 工作流程：

用户首次登录成功后，服务器生成一个标识符（如 token），并将其写入 Cookie。
浏览器保存该 Cookie。
后续请求中，浏览器自动将 Cookie 发送给服务器，服务器通过解析 Cookie 判断用户身份。

⚠️ 缺点：

容易受到 XSS 攻击。
每次请求都会携带 Cookie，可能造成性能浪费。
多域下共享困难。

3. Session 介绍

Session 是服务器端用来保存用户状态的一种机制。它与 Cookie 配合使用，但主要数据保存在服务器上。

✅ 工作流程：

用户登录成功后，服务器创建一个 Session 对象，并生成唯一的 Session ID。
将 Session ID 通过 Cookie 返回给浏览器。
浏览器后续请求中自动携带 Session ID。
服务器根据 Session ID 查找对应的用户信息。

⚠️ 缺点：

Session 存储在服务器内存中，对大规模系统来说存在性能瓶颈。
分布式部署时需要额外处理 Session 共享问题（如使用 Redis）。

4. JWT 介绍

JWT（JSON Web Token） 是一种开放标准（RFC 7519），用于在网络应用环境中安全地传输声明（claims）。

✅ 结构组成：

JWT 由三部分组成，用 Base64Url 编码拼接而成：

Header（头部）
Payload（负载）
Signature（签名）

示例：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.
eyJ1c2VybmFtZSI6ImFkbWluIiwicm9sZSI6ImFkbWluIiwiZXhwIjoxNzE2MDA4MjQwfQ.
HMACSHA256(base64UrlEncode(header)+'.'+base64UrlEncode(payload), secret_key)

✅ 工作流程：

用户登录成功后，服务器生成一个 JWT 并返回给客户端。
客户端将 JWT 存储在 LocalStorage 或 Cookie 中。
后续请求中，客户端在请求头中添加 Authorization: Bearer <token>。
服务器验证 Token 的签名和有效期，无需查询数据库即可完成身份识别。

✅ 优点：

无状态，适合分布式系统。
可扩展性强，支持跨域。
数据自包含，安全性高。

⚠️ 缺点：

Token 一旦签发，在有效期内无法主动失效。
需要合理设置过期时间，防止泄露。

5. 使用 Cookie 实现登录认证

示例流程：

用户第一次登录，输入用户名 admin 和密码 123456。
服务器验证用户信息（查数据库）。
若验证成功，服务器生成一个随机 Token，并将其存储在 Cookie 中返回。
浏览器保存 Cookie。
后续请求中，浏览器自动携带 Cookie，服务器通过 Token 获取用户信息（无需再次查库）。

Set-Cookie: token=abc123xyz; Path=/; HttpOnly

6. 使用 Session 实现登录认证

示例流程：

用户首次登录，输入用户名 admin 和密码 123456。
服务器验证用户信息（查数据库）。
若验证成功，服务器生成 Session ID，并将用户信息存储在 Session 中。
Session ID 通过 Cookie 返回给浏览器。
后续请求中，服务器根据 Session ID 查找用户信息，无需再次查库。

Set-Cookie: JSESSIONID=abc123xyz; Path=/

7. 使用 JWT 实现登录认证

示例流程：

用户首次登录，输入用户名 admin 和密码 123456。
服务器验证用户信息（查数据库）。
若验证成功，服务器生成一个 JWT，包含用户名等信息。
JWT 返回给客户端，客户端将其保存在 LocalStorage 或 Cookie 中。
后续请求中，客户端在请求头中添加 Authorization: Bearer <token>。
服务器验证 Token 合法性，直接获取用户信息，无需查库。

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

总结对比

技术	是否查库	存储位置	是否无状态	安全性	适用场景
Cookie	否	客户端	否	一般	简单网页应用
Session	否	服务端	否	高	单体架构项目
JWT	否	客户端	是	高	分布式系统、移动端

结语

本文介绍了三种常见的登录认证技术：Cookie、Session 和 JWT，并通过 admin/123456 的例子演示了它们在实际开发中的应用场景。选择合适的认证方式，能够提升系统的安全性、可扩展性和用户体验。

如果你正在开发 Web 应用，建议根据项目规模和需求选择合适的认证机制：

小型项目：使用 Cookie 或 Session；
中大型项目、微服务架构：推荐使用 JWT。

希望这篇文章能帮助你更好地理解和掌握登录认证的核心原理和技术实现。

📝 作者：Gavin
📅 日期：2025年5月16日