Session Vs JWT: The Differences You May Not Know!

[ae86]

Summary​

今天我們探討了兩種最常見的網絡身份驗證方式：基於會話的身份驗證和 JSON Web 令牌（JWT）。我們比較了它們的工作流程、優缺點，並討論了適用於不同情況的最佳選擇。基於會話的身份驗證需要伺服器儲存會話資料，而 JWT 是無狀態的，所有資料都儲存在令牌中，這使得它更容易在多伺服器環境中擴展。最終，選擇何種方式取決於應用的需求與架構。

Highlights​

• 會話基礎身份驗證流程：使用者提交登錄憑證，伺服器驗證並創建會話，儲存在伺服器端（如 Redis）。會話 ID 通常以 cookie 形式回傳給客戶端，用於未來的請求認證。
• JWT 基礎身份驗證流程：伺服器生成並簽署 JWT 令牌，並將其發送給客戶端，客戶端在隨後的請求中攜帶該令牌進行認證。JWT 令牌包含所有所需的資料，並且無需伺服器存儲任何會話資料。
• JWT 簽名算法：HMAC（對稱簽名）、RSA 和 ECDSA（非對稱簽名）各有優缺點，根據安全需求和系統架構選擇合適的算法。
• 使用刷新令牌：當 JWT 存在過期風險時，可以結合短期的存取令牌和長期的刷新令牌來平衡安全性和用戶體驗，刷新令牌可延長用戶登錄狀態，