JWT和Cookie/Session的区别及优缺点
## JWT和Cookie/Session的区别及优缺点
存储位置
古老都是应用在web中对http无状态协议的补充,达到状态保持的目的。
cookie:cookie中的信息是以键值对的形式存储在浏览器中,而且大浏览器中可以直接看到数据。
session:session是存储在服务器中,然后发送一个cookie存储在浏览器中,cookie中存储的是session_id,之后每次请求服务器通过 session_id可以获取对应的session信息
JWT:JWT存储在浏览器的storage 或者 cookie中。由服务器产生加密的json数据包括header,payload和signature 三部分组成。header
中通常来说由token的生成算法和类型组成,payload中则用来保相关的状态信息,signature部分由header,payload ,secret_key三部分加密生成。注意,不要在JWT的payload或header中放置敏感信息,除非它们是加密的。
优缺点:
cookie:
- 优点:
1. 结构简单。cookie是一种基于文本的轻量结构,包含简单的键值对。
2. 数据持久。虽然客户端计算机上cookie的持续时间取决于客户端上的cookie过期处理和用户干预,cookie通常是客户端上持续时间最长的数据保留形式。
- 缺点:
1. 大小受限。大多数浏览器对cookie的大小有5096的字节限制,尽管在当今新的浏览器和客户端设备版本中,支持8192字节的cookie大小已愈发常见。
2. 非常不安全。cookie将数据裸露在浏览器中,这样大大增大了数据被盗取的风险,所以我们不应该将重要的数据放在cookie中,或者将数据加密处理。
3. 容易被csrf攻击。可以设置csrf_token来避免攻击。
session:
- 优点:
1. session的信息存储在服务器,相比于cookie应在一定程度上加大了数据的完全性,相比于jwt方便进行管理,也就是说当用户登录和主动注销,只需要添加删除对应的session就可以,这样管理起来很方便
- 缺点:
1. session存储在服务端,这就增大了服务器的开销,当用户多的情况下,服务器性能应付大大降低。
2. 因为是基于cookie来进行用户识别的cookie如果被截获,用户就会很容易受到跨站请求伪造的攻击。
3. 用户认证之后,服务端做认证记录,如果认证的记录被保存的内存中的话, 这意味着用户下次请求还必须要请求在这台服务器上的,这样才能拿到授权的资源,这样在分布式的应用上,会限制负载均衡和集群水平拓展的能力。
JWT:
- 优点:
1. 因为json的通用性,jwt可支持跨语言请求,像Java、JavaScript、PHP等很多语言都可以使用。
2. 因为有了payload部分,所以JWT可以在自身存储一些其他业务逻辑所必要的非敏感信息。
3. 便于传输,JWT的构成非常简单,字节占用很小,所以它是非常便于传输的。
4. 不需要在服务端保存会话信息,篮球服务器横向拓展。
- 缺点:
1. 登录状态续签问题。比如设置token的有效期为一个小时,那么一个小时后,如果用户仍然在这个web应用上,这个时候当然不能指望用户再登录一次。目前可用的解决办法是在每次用户发现请求都返回一个新的token,前端再用这个token来替代旧的,这样每一次请求都会刷新token的有效期。但是这样需要频繁的生成token。另外一种方案是判断还有多久这个token会过期,在token快要过期时,返回一个新的token.
2. 用户主动注销。JWT并不支持用户主动退出登录,客户端在别处使用token仍然可以正常访问。为了支持注销。有一个解决方案可用,就是在注销时将该token加入到服务器的redis黑名单中。
## 扩展
- JWT与OAuth的区别
OAuth2是一种授权框架,用在使用第三方账号登录的情况,比如使用weibo,qq,github登录某个app,JWT是一种认证协议,用在前后端分离,需要简单对后台API进行保护时使用。无论使用哪种方式一定要用HTTPS来保证数据的安全性。
[https://i.cnblogs.com/posts]:
1.
原文地址:https://www.cnblogs.com/xifeng3627935155/p/16315236.html
- JavaScript 教程
- JavaScript 编辑工具
- JavaScript 与HTML
- JavaScript 与Java
- JavaScript 数据结构
- JavaScript 基本数据类型
- JavaScript 特殊数据类型
- JavaScript 运算符
- JavaScript typeof 运算符
- JavaScript 表达式
- JavaScript 类型转换
- JavaScript 基本语法
- JavaScript 注释
- Javascript 基本处理流程
- Javascript 选择结构
- Javascript if 语句
- Javascript if 语句的嵌套
- Javascript switch 语句
- Javascript 循环结构
- Javascript 循环结构实例
- Javascript 跳转语句
- Javascript 控制语句总结
- Javascript 函数介绍
- Javascript 函数的定义
- Javascript 函数调用
- Javascript 几种特殊的函数
- JavaScript 内置函数简介
- Javascript eval() 函数
- Javascript isFinite() 函数
- Javascript isNaN() 函数
- parseInt() 与 parseFloat()
- escape() 与 unescape()
- Javascript 字符串介绍
- Javascript length属性
- javascript 字符串函数
- Javascript 日期对象简介
- Javascript 日期对象用途
- Date 对象属性和方法
- Javascript 数组是什么
- Javascript 创建数组
- Javascript 数组赋值与取值
- Javascript 数组属性和方法
- 前端|初学vue
- 使用clusterProfiler对非模式生物进行富集分析
- 微信小程序|逻辑判断
- R语言绘图 | 给气泡矩阵图上个色
- 前端|创建简单动态时钟
- R语言做几何布朗运动的模拟:复杂金融产品的几何布朗运动的模拟
- 手把手教你使用Flask搭建ES搜索引擎(实战篇)
- 【基础篇】Python+Go——带大家一起另寻途径提高计算性能
- 转录组分析 | 使用Trimmomatic过滤Fastq文件
- 转录组分析 | 使用FastQC进行数据质控
- R语言绘图 | 给箱线图加个点
- R语言绘图 | 使用pheatmap快速绘制热图
- 可能是目前最详细从零开始配置 TypeScript 项目的教程
- 比对得到的SAM文件怎么看?
- ANTNet|端侧架构,精度速度双超MobileNetV2