了解 JHipster 的安全机制：何时使用 JWT、HTTP Session 或 OAuth2 和 OpenID Connect？

Question

我正在创建一个单一应用程序（例如电子商务或市场），我担心它是否安全。我了解（广义上）JWT 的工作原理，但不确定 HTTP Session 或 OAuth2 和 OpenID Connect。

建议什么时候使用这些选项？

Answer 1

对于单体应用，我宁愿推荐 HTTP 会话而不是 JHipster 的 JWT 实现，因为它更安全：在客户端，它使用仅 http 的安全 cookie，而 JWT 存储在浏览器的 LocalStorage 中。如果你想通过运行多个实例来水平扩展你的单体应用，你将不得不管理会话复制，但 Spring 做得很好。 HTTP 会话是众所周知的，并在 Spring Security 文档中进行了描述。

OAuth2 和 OpenID Connect 在您想要针对其他身份提供者（如 Google、Facebook 等）进行身份验证时会更好......它在微服务架构的上下文中也更有意义。