一、背景说明
在开发登录功能时，难以避免的会面临选择何种会话技术，来对用户的登录状态进行认证和校验。常见的三种方式包括：
- cookie
- session
- JWT令牌
下面依次展开对这三种会话技术的优缺点进行说明。
二、会话技术之 Cookie
1、为什么说cookie是客户端会话技术
cookie是一种客户端会话技术，他是存储在浏览器的，那为什么说他是客户端会话技术呢？可以看以下代码来证明：
private static void set(HttpServletResponse response, String key, String value, String domain, String path, int maxAge, boolean isHttpOnly) { Cookie cookie = new Cookie(key, value); if (domain != null) { cookie.setDomain(domain); } cookie.setPath(path); cookie.setMaxAge(maxAge); cookie.setHttpOnly(isHttpOnly); response.addCookie(cookie);//直接响应给浏览器，没有存储在服务器端 }
他是由服务器端，通过response对象直接响应给浏览器的，并没有存在服务器中。
下图就是服务器响应给客户端浏览器的cookie
2、cookie的优点和缺点
优点
- 他是HTTP协议中支持的技术
- 占用更少的内存，不需要任何服务器资源，并存储在用户的计算机上，因此不会给服务器带来额外的负担。
缺点
- 移动端APP无法使用cookie
- 不安全，用户可以自己禁用浏览器的cookie
- cookie不能跨域
补充说明一下，跨域区分的三个维度：协议、域名/IP、端口
三、会话技术之 Session
1、为什么说Session是服务端会话技术
Session是一种服务端会话技术，他是存储在服务器上的，那为什么说他是服务器会话技术呢？可以看以下代码来证明：
public static String getValue(HttpServletRequest request, String key) { HttpSession session = request.getSession(); session.setAttribute("login",key+"_"+ UUID.randomUUID()); ....... }
当客户端第一次请求服务器的时候，服务器会为客户端创建一个session，并将通过特殊算法算出一个session的ID，用来标识该session对象
下图是浏览器请求服务器端接口时，浏览器会把之前服务器端生成的sessionID，通过请求头带给服务器
2、session的优点和缺点
优点
- 存储在服务器端，比较安全
缺点
- 服务器集群环境下无法直接使用session
四、令牌技术JWT
1、JWT 的原理
服务器认证以后，生成一个 JSON 对象，发回给用户，就像下面这样。
{ “姓名”: “张三”, “角色”: “管理员”, “到期时间”: “2018年7月1日0点0分” }
以后，用户与服务端通信的时候，都要发回这个 JSON 对象。服务器完全只靠这个对象认定用户身份。为了防止用户篡改数据，服务器在生成这个对象的时候，会加上签名（详见后文）。
服务器就不保存任何 session 数据了，也就是说，服务器变成无状态了，从而比较容易实现扩展。
2、JWT的优点和缺点
优点
- 支持pc端、移动端
- 解决集群环境下的认证问题
- 减去服务器端的存储压力
缺点
- JWT 的最大缺点是，由于服务器不保存 session 状态，因此无法在使用过程中废止某个 token，或者更改 token 的权限。也就是说，一旦 JWT 签发了，在到期之前就会始终有效，除非服务器部署额外的逻辑。
- JWT 本身包含了认证信息，一旦泄露，任何人都可以获得该令牌的所有权限。为了减少盗用，JWT 的有效期应该设置得比较短。对于一些比较重要的权限，使用时应该再次对用户进行认证。
