session、token、jwt、oauth2 傻傻分不清
2022-12-06 11:31:21
session、token、jwt、oauth2 都是用于身份验证和授权的机制，但它们在实现方式、应用场景和安全性等方面存在显著差异。
session
定义：session 是一种记录服务器和客户端会话状态的机制。
实现方式：session 通常基于 cookie 实现，服务器在创建 session 时会生成一个唯一的 sessionID，并将其存储在服务器的内存或数据库中，同时将 sessionID 发送给客户端，客户端将其存储在 cookie 中。
特点：
有状态：服务器需要维护 session 状态，这可能会增加服务器的负担。
安全性较高：由于 sessionID 是随机生成的，且存储在服务器端，因此相对安全。
依赖 cookie：session 通常需要依赖 cookie 来传输 sessionID。
应用场景：适用于传统的 Web 应用程序，其中服务器需要跟踪用户的会话状态。
token
定义：token 是一种令牌，用于在客户端和服务器之间进行身份验证和授权。
实现方式：客户端使用用户名和密码请求登录，服务器验证成功后，会签发一个 token 并将其发送给客户端。客户端在后续请求中需要携带这个 token。
特点：
无状态：服务器不需要维护 token 的状态，这减轻了服务器的负担。
灵活性高：token 可以存储在客户端的任何位置，如 cookie、localStorage 等。
安全性：token 通常包含签名，可以防止篡改和伪造。
应用场景：适用于分布式系统和移动应用程序，其中服务器不需要跟踪用户的会话状态。
jwt
定义：JWT（JSON Web Token）是一种基于 JSON 的开放标准（RFC 7519），用于在网络应用环境间传递声明。
实现方式：JWT 由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。服务器在验证用户身份后，会生成一个 JWT 并将其发送给客户端。客户端在后续请求中需要携带这个 JWT。
特点：
自包含：JWT 本身包含了用户的信息，服务器不需要查询数据库来验证用户身份。
跨域支持：JWT 可以在不同的域之间传递，这使得它非常适合用于微服务架构。
安全性：JWT 使用数字签名来确保其完整性和真实性。
应用场景：适用于需要跨域身份验证和授权的场景，如微服务架构和单点登录（SSO）。
oauth2
定义：OAuth2 是一种授权框架，允许用户授权第三方应用访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方应用。
实现方式：OAuth2 定义了四种角色：资源所有者、资源服务器、客户端和授权服务器。客户端通过授权服务器获取访问令牌（Access Token），然后使用这个令牌来访问资源服务器上的资源。
特点：
安全性：OAuth2 提供了多种授权方式，如授权码、隐式授权、密码凭证和客户端凭证，可以根据不同的安全需求选择合适的授权方式。
灵活性：OAuth2 允许用户授权第三方应用访问他们的资源，而不需要将用户名和密码提供给第三方应用。
标准化：OAuth2 是一个广泛接受的标准化协议，许多大型网站和应用程序都支持 OAuth2。
应用场景：适用于需要第三方应用访问用户资源的场景，如社交媒体登录和 API 授权。
热门标签
