“token auth”与“cookie auth”有何不同？

Question

从表面上看，“token auth”似乎与传统的“cookie auth”基本相同。

令牌认证：

1. 用户向 API 提交用户名/密码
2. API 以访问令牌响应
3. 客户端存储访问令牌以在将来的请求中识别用户

Cookie 身份验证：

1. 用户向 API 提交用户名/密码
2. API 使用 cookie 响应
3. 客户端存储 cookie 用于在未来的请求中识别用户

token auth 好像和 cookie auth 基本一样，只是大部分 HTTP 客户端已经知道如何自动管理 cookie，而你必须手动管理 API 令牌。

我错过了什么？使用令牌认证有什么好处？真的值得付出额外的努力吗？

Answer 1

额外的努力是否值得，取决于您要保护什么以及谁在使用 API。

当您的客户端不基于浏览器时，基于令牌的身份验证会容易得多。因此，如果您的目标是移动应用程序，则值得考虑基于令牌的身份验证。

但在浏览器场景中它也有一些优势。由于浏览器不会自动发送Authorization 标头，因此安全令牌不易受到CSRF 攻击。

如果您的 Web 应用程序位于您的 API 之外的另一个域中，则不会发送 cookie，因为 same-origin policy。安全令牌不受此影响。