cookie、session、JWT
会话
会话 ：用户打开一个浏览器，点击了很多超链接，访问多个web资源，关闭浏览器，这个过程可以称之为会话；
有状态会话：一个同学来过教室，下次再来教室，我们会知道这个同学，曾经来过，称之为有状态会话；
怎么证明你是学校学生?
1、你有学生证
2、学生证是该学校发的，学校有登记备案。（SessionID）
一个网站，怎么证明你来过？
客户端 服务端
- 服务端给客户端一个 信件，客户端下次访问服务端带上信件就可以了； cookie
- 服务器登记你来过了，下次你来的时候我来匹配你； seesion
cookie
cookie 背景：由于HTTP协议是无状态的，而服务器端的业务必须是要有状态的。Cookie诞生的最初目的是为了存储web中的状态信息，以方便服务器端使用。比如判断用户是否是第一次访问网站
cookie
- Cookie是客户端技术，程序把每个用户的数据以cookie的形式写给用户各自的浏览器。当用户使用浏览器再去访问服务器中的web资源时，就会带着各自的数据去。这样，web资源处理的就是用户各自的数据了。
- cookie的处理过程（图就不上了）:
- 服务器像客户端发送cookie
- 浏览器将cookie保存
- 之后每次http请求浏览器都会将cookie发送给服务器端
cookie：一般会保存在本地的 用户目录下 appdata；
一个网站cookie是否存在上限！聊聊细节问题
- 一个Cookie只能保存一个信息；
- 一个web站点可以给浏览器发送多个cookie，最多存放20个cookie；
- Cookie大小有限制4kb；
- 300个cookie浏览器上限
Session（重点）
session的处理
1、浏览器第一次访问服务器，服务器会创建一个session，并生成一个sessionId
2、将sessionid及对应的session分别作为key和value保存到缓存中，也可以持久化到数据库中
3、服务器再把sessionid，以cookie的形式发送给客户端
4、浏览器下次再访问时，会直接带着cookie中的sessionid。然后服务器根据sessionid找到对应的session进行匹配；
JWT(json web token)
组成： 一个jwt实际上就是一个字符串，它由三部分组成，头部、载荷与签名，这三个部分都是json格式。
签名算法是HS256算法。
和session 区别
基于session和基于jwt的方式的主要区别就是用户的状态保存的位置，session是保存在服务端的，而jwt是保存在客户端的。
token处理流程
- 把用户的用户名和密码发到后端(输入登录信息)
- 后端（服务器）进行校验，校验成功会生成token, 把token发送给客户端，且存储在客户端的localstorage、session storage和cookie中。
- 客户端自己保存token, 再次请求就要在Http协议的请求头中带着token去访问服务端，和在服务端保存的token信息进行比对校验。(服务器解码JWT过程)
这里可以把token理解成一张演唱会的门票。服务器(演唱会主办方)每次只需要检查你这张门票的有效性，不需要知道你这张门票是在哪里买的，从谁买的，什么时候买的等等。不同等级的门票可以坐的位置不同，同样的，权限不同的用户可以进行的操作也不同。
小结
session和cookie的目的相同，都是为了克服http协议无状态的缺陷，但完成的方法不同。 session可以通过cookie来完成，在客户端保存session id，而将用户的其他会话消息保存在服务端的session对象中，与此相对的，cookie需要将所有信息都保存在客户端。因此cookie存在着一定的安全隐患，例如本地cookie中保存的用户名密码被破译，或cookie被其他网站收集（例如：1. appA主动设置域B cookie，让域B cookie获取；2. XSS，在appA上通过javascript获取document.cookie，并传递给自己的appB）。
适合使用jwt的场景：
- 有效期短
- 只希望被使用一次
比如，用户注册后发一封邮件让其激活账户，通常邮件中需要有一个链接，这个链接需要具备以下的特性：能够标识用户，该链接具有时效性（通常只允许几小时之内激活），不能被篡改以激活其他可能的账户，一次性的。这种场景就适合使用jwt。
而由于jwt具有一次性的特性。单点登录和会话管理非常不适合用jwt，如果在服务端部署额外的逻辑存储jwt的状态，那还不如使用session。基于session有很多成熟的框架可以开箱即用，但是用jwt还要自己实现逻辑。
参考
1、www.cnblogs.com/yuanrw/p/10…
