问题来源于两个网友的交流
——》评论： jwt的特性之一就是服务器不需要存储,只需校验token内容是否有效. 如果需要服务器存储,就是把jwt当成session在用.
——》反驳: 如果JWT不做服务器存储自动续期就不好实现
这两个观点都是从不同角度出发，各有其合理性，但需要更细致地分析来理解它们的适用场景和差异。
JWT特性：服务器不需要存储
这是正确的。JWT（JSON Web Tokens）设计的核心理念之一是无状态性，即服务器不需要存储任何会话信息。JWT包含了所有必要的用户身份验证信息（通常包括过期时间、发行者、接收方、用户标识符等），并且经过签名保证其完整性。当客户端携带JWT访问受保护的资源时，服务器只需要验证JWT的签名以及检查过期时间等声明是否有效，无需查询数据库或会话存储。
服务器存储与自动续期
认为“JWT如果不做服务器存储就不好实现自动续期”的观点，是从功能实现的角度出发。确实，JWT本身不支持自动续期，因为它一旦签发，其内容就是固定的，包括过期时间。如果想要实现自动续期（比如维持用户登录状态），确实需要服务器端做一些额外的设计。一种常见的做法是，在JWT接近过期时，客户端发起请求获取新的JWT（可能需要验证旧的JWT有效性），然后替换掉即将过期的JWT。这个过程中，虽然服务器端不直接存储JWT本身，但它可能需要记录一些信息来辅助判断是否允许续期，比如记录用户的登录状态或维持一个会话列表来跟踪活跃用户，这在一定程度上可以视为“存储”。
JWT与Session对比
- JWT更倾向于实现无状态服务，减轻服务器负担，提高横向扩展能力，适用于分布式系统。但是处理续期、登出等场景较为复杂。
- Session则在服务器端存储会话信息，易于管理用户状态（如自动登录、强制下线），但会增加服务器存储负担，且在分布式部署时需要额外的会话同步机制。
综上，两者根据不同的应用场景各有优势。说“把JWT当成session在用”可能有些片面，因为即使JWT在实现续期时需要服务器端有一定的配合，其设计理念和实现机制仍与传统的session有着本质区别。选择哪种方式应基于具体需求、扩展性要求及安全考量。
