API 的 JWT 身份验证与会话身份验证答案

【问题标题】：JWT Auth vs Session Auth for APIAPI 的 JWT 身份验证与会话身份验证
【发布时间】：2016-04-24 10:13:04
【问题描述】：

我正在开发一个需要一些身份验证功能的 API。

我通常使用会话方法：用户发布到登录 API，我返回一个会话 ID。然后，对于所有其他 API 调用，用户需要附加该会话 ID。

我的主管建议我将 JWT 用于此类工作。但我似乎找不到在上述会话方法上使用 JWT 的任何显着优点。如果我想在使用 JWT 时维护某种“会话数据”，甚至会遇到很大的问题。

您对在这种情况下使用 JWT 的优点有任何想法吗？我应该将旧代码迁移到 JWT 吗？

【问题讨论】：

【解决方案1】：

我最终发现这篇文章涵盖了整个主题，因此回答了这个问题：

无状态 JWT 令牌不能失效或更新，并且将根据您的位置引入大小问题或安全问题存储它们。有状态的 JWT 令牌在功能上与会话相同饼干，但没有经过实战考验和充分审查实现或客户支持。

除非您使用 Reddit 规模的应用程序，否则没有理由这样做使用 JWT 令牌作为会话机制。只需使用会话。

【讨论】：