JWT 与“加密 cookie”的应用场景有什么区别？

[yodhcn]

• laravel 将加密后的 session 存储在 cookie 中 https://laravel.com/docs/11.x/session#configuration

• JWT 将 session 明文存储，并用 hash 签名防篡改

这两种验证策略的应用场景有什么区别？

为什么在刷新有效期上，存储在 cookie 中的 session ，由后端通过中间件在每次请求时都刷新 session 的有效期；而 JWT 通常分为 access_token 与 refresh_token，并由前端通过携带 refresh_token 的请求获取新的 access_token

[ychost]

其实本质没区别，无非是放 header 的 key 不一样，但是 cookie 有很多安全机制，浏览器可以保障 http_only 前端不能直接获取这个值而 jwt 这个保证不了

[skuuhui]

其实没啥本质区别，就是一个加密值在通讯中传递。cookies 也是 http 头。只不过 cookies 有更多的限制情况，jwt 更自由，并且也带来更多不安全因素。如果你很多授权是跨域，跨平台，跨应用的，显然更自由的方式让你开发起来更容易，但不代表其他方式不行，你甚至自定义 token 字段。