谁能用简短的语言解释 JWT 和 session 的区别?

[chaleaochexist]

我目前的理解是.

JWT 在服务器端只需要验证你的 token 是正确的就可以.也就是说数据库里面只需要保存类似这种.

user_id token

然后服务器接到 token 信息,就知道你是谁了.剩下的信息也都在 token 里面装着.不装在服务器端.

要不然我理解不了 JWT 方式和 session 的区别.

[jswh]

session 是存在服务器端的，是服务器端对客户端的访问状态的存储，因为 HTTP 本身是无状态的，但有时候有需要保存状态(比如登录状态），就用这种方式，一般配合 cookie 来使用。token 是访问令牌，就是一种权限的校验机制，JWT 是 token 的一种规范。这里面的概念都不一样，不能这么比。

[rainonline]

JWT 是不需要数据库的。当服务器授权生成 Token 之后，用户存储在浏览器中，服务器本身不储存用户的状态。访问服务器时服务器直接算法校验用户传过来的 Token 是否有效。不过这样有一些缺点比如不能服务端设置 Token 无效，只能等他过期。

Session 则是用一个全局变量来存储用户的状态。长期保存需要存储在数据库中，多个服务共享登陆状态时还要做 Session 数据共享等操作，可扩展性差一些但比较容易做控制

[zsh1995]

理论上 JWT 的 token 也不需要存数据库吧，验证是基于密码学的签名算法的

[tachikomachann]

jwt 也是 session 的一种
传统的 session 验证方式是服务端有存储介质保存用户 session，客户端请求时带上票据来服务端验证。
jwt 基于一套标准的加密方式，加密票据和 session 信息（比如登录用户的数据），并且不需要存储介质就能验证票据合法性，可以做到 session 产生后不需要服务端参与验证。

当然，缺点也很明显，只依赖客户端的话，jwt 无法集中控制用户会话过期，比如后台踢出用户这种操作。

[qq976739120]

我现在是登录的时候生成一个 uuid 放到缓存,前端放到 cookie,redis 里 uuid: 用户信息,然后每次访问的时候前端带这个 uuid 过来,缓存里判断是否存在这个 uuid,存在这个 uuid 表示登录. 感觉也蛮方便的

[precisi0nux]

@tachikomachann 这也是我一直疑惑的，如果用户改密码了，如何去 invalidate 那个 jwt token。

[mgcnrx11]

这个写得挺好的，http://cryto.net/~joepie91/blog/2016/06/13/stop-using-jwt-for-sessions/ 。不过不是楼主要的简短的

[sunnysen]

明显两个概念 维基一下就知道了 前排别误人子弟

[imn1]

session 是一个环境、变量容器，不能把它其中一个用途 /属性抽出来代替它

[crab]

@precisi0nux jwt 带上过期时间，过期要重新请求了。

[571726193]

@rainonline 你好 之前使用过 jwt，但是 道理不是太懂，以下几点能否指点以下：
1，JWT 生成的 token 存放在哪里啊？
2，移动端登录到服务器返回一个 token, 以后每次访问都带着这个 token 来请求接口 ，服务端是通过什么知道 带上来的 token 和 第一次生成的 token 一样的？

菜鸟一枚，真心求教 谢谢大佬

[qwx]

@571726193
1、生成的 token 应该传递给客户端存放在客户端
2、我的操作是整个 token 放到 redis，提交上来先验证，当然有大佬告诉我最好不要这么做。
（虽然 token 的验证是通过签名来保证不可伪造就是了）

[leafin]

@571726193 简单理解一下：在 session 机制下，当用户登录时，服务器从数据库读出用户信息

[leafin]

@571726193 简单理解一下：
在 session 机制下，当用户登录时，服务器从数据库读出用户信息，把用户信息保存在 session 容器里，然后创建一个 sessionId 指向这个用户信息。然后把 sessionId 返回给客户端保存。下次客户端请求时带上 sessionId，服务器查找 sessionId 对应的 session，即可得到用已认证的户信息。
可以理解成服务器创建并保存会员卡，然后把卡号告诉你。你要消费的时候提供卡号就行。

在 JWT 机制下，当用户登录时，服务器从数据库读出用户信息，把用户信息加密生成一个 token。然后把 token 返回给客户端保存。下次客户的请求时带上 token，服务器解密 token，从中得到已认证的用户信息。
可以理解成服务器创建会员卡，然后把卡给你。你要消费的时候要提供会员卡。

[571726193]

@leafin 1，JWT 生成的 token 存放在哪里啊？
2，移动端登录到服务器返回一个 token, 以后每次访问都带着这个 token 来请求接口 ，服务端是通过什么知道 带上来的 token 和 第一次生成的 token 一样的？

我想了解的是这两个 ， 谢谢

[algery]

JWT 无状态； Session 有状态维护

[leafin]

@571726193 我觉得我已经讲清楚了。
1.token 返回给客户端了，服务器不保存。
2.没有什么第一个第二个的，服务器收到 token 的时候，能成功解密，就说明用户身份没问题。

[heimeil]

一个 jwt 是由 3 部分组成，用 . 连接起来 Header.Payload.Signature，主要是最后的签名起到认证的作用，服务端先用 Header 里面的算法对 Payload 进行带密码的签名，别人没密码就签不出来同样的结果，生成后发给客户端，客户端再发给的服务端时，服务端再重复一下之前的签名操作，比对签名是否一致，相同就代表 token 没有被篡改。

就像比较两个 md5 一样，只不过 jwt 是带了密码的，不然谁都可以伪造，签名正确的话 Payload 的内容就是可信的了。

改密码之类强制清理用户 token 问题还需要一个黑名单系统，block 用户一个时间点之前的 token。

[chaleaochexist]

@heimeil 大神,数你说的最简单,而且说得通.

> 改密码之类强制清理用户 token 问题还需要一个黑名单系统，block 用户一个时间点之前的 token。
这个部分就需要用到数据库了对吧?
譬如把过期的或无效的 token 放到数据库里面.

[lichao]

JWT 不能针对单个用户进行重置？