深圳做网站的公司 cheungdom,旅社网站建设,cms是什么意思体积,江苏城乡建设如今#xff0c;越来越多的项目开始采用JWT作为认证授权机制#xff0c;那么它和之前的Session究竟有什么区别呢#xff1f;今天就让我们来了解一下。JWT是什么定义JSON Web Token(JWT)是一个开放标准(RFC 7519)#xff0c;它定义了一种紧凑和自包含的方式#xff0c;用于…如今越来越多的项目开始采用JWT作为认证授权机制那么它和之前的Session究竟有什么区别呢今天就让我们来了解一下。JWT是什么定义JSON Web Token(JWT)是一个开放标准(RFC 7519)它定义了一种紧凑和自包含的方式用于在各方之间作为JSON对象安全地传输信息。作为标准它没有提供技术实现但是大部分的语言平台都有按照它规定的内容提供了自己的技术实现所以实际在用的时候只要根据自己当前项目的技术平台到官网上选用合适的实现库即可。特点使用JWT来传输数据实际上传输的是一个字符串这个字符串就是所谓的json web token字符串。所以广义上JWT是一个标准的名称狭义上JWT指的就是用来传递的那个token字符串。这个串有两个特点紧凑指的是这个串很小能通过url 参数http 请求提交的数据以及http header的方式来传递自包含这个串可以包含很多信息比如用户的id、角色等别人拿到这个串就能拿到这些关键的业务信息从而避免再通过数据库查询等方式才能得到它们。结构它由三部分组成header(头部)、payload(载荷)、signature(签名)以.进行分割。(这个字符串本来是只有一行的此处分成3行只是为了区分其结构)header用来声明类型(typ)和算法(alg)。payload一般存放一些不敏感的信息比如用户名、权限、角色等。signature则是将header和payload对应的json结构进行base64url编码之后得到的两个串用英文句点号拼接起来然后根据header里面alg指定的签名算法生成出来的。和Session的区别为什么我们要把JWT和Session做对比呢因为我们主要在每一次请求的认证时会用JWT在此之前我们都是用Session的。那这两者的区别在哪儿呢本身的含义看了前面的介绍我们发现JWT这个字符串其实本身就包含了关于用户的信息比如用户名、权限、角色等。Session传递的sessionId虽然是一个更简单的字符串但它本身并没有任何含义。所以一般说来JWT的字符串要比sessionId长如果你在JWT中存储的信息越长那么JWT本身也会越长。而Cookie的存储容量是有限制的(通常为4KB)所以大家在使用的时候需要注意。解析方法JWT的header和payload其实是有json转变过来的而signature其实就是一个加密后的字符串因此解析起来较为简单不需要其他辅助的内容。sessionId是服务器存储的用户对象的标识理论上需要一个额外的map才能找出当前用户的信息。管理方法JWT理论上用于无状态的请求因此其用户管理也只是依赖本身而已。我们一般是在它的payload中加入过期时间在不增加额外管理的情况下它只有自动过期的方式。Session因为它本就是存储在服务器端的因此管理方案就有很多而且大多都很成熟。跨平台JWT本身就是基于json的因此它是比较容易跨平台的可以从官网下载不同平台的包解析即可。session的跨平台可能就不那么好做了需要考虑的地方在于用户信息存储的格式ProtoBuf、json、xml等管理的话可能就需要专门的统一登录平台这个就不展开了。时效性无状态JWT一旦被生成就不会再和服务端有任何瓜葛。一旦服务端中的相关数据更新无状态JWT中存储的数据由于得不到更新就变成了过期的数据。session就不一样了sessionId本身就没有太多含义只需修改服务端中存储的数据即可。适用场景JWTJWT的最佳用途是一次性授权Token这种场景下的Token的特性如下有效期短只希望被使用一次真实场景的例子——文件托管服务由两部分组成Web 应用这是一个可以被用户登录并维持状态的应用用户在应用中挑选想要下载的文件。文件下载服务无状态下载服务只允许通过密钥下载。如何把JWT用在这个场景中呢用户登录到 Web 应用中挑选好想要下载的文件点击下载。认证服务颁发包含下载信息的、具有较短过期时间的JWT。JWT中包含的信息可以是这样的{ file: /books/我这一辈子.pdf
