这是一个创建于 1807 天前的主题，其中的信息可能已经有所发展或是发生改变。
如题，如果网站做大点，往往是使用分布式 session，统一存储或者根据 hash 映射到对应的机器？
还是使用类似 jwt 这样的机制，把存储交给客户端来完成？
后者是直接把 jwt 值直接放在Authorization头部还是放在 Cookie 头部呢？另外会不会再对 jwt 做个简单的加密？
毕竟我看了好多网站并没有 Authorization 头部，而且 Cookie 里也没有类似 jwt 格式的值。
 |
1
dcalsky 2019-12-03 11:40:42 +08:00
JWT: Token 放 Header 的 Authorization 字段里，私密信息不要放 payload 里。对 token 不必要再加密了，因为生成 token 的时候，已经有一个加密过程（比如 HS256 ）了。建议再看下简介： https://jwt.io/introduction/
|
 |
2
asche910 OP @dcalsky 这些我知道，只是比较疑惑看了那么多的大网站，请求里都没有带上 Authorization 头部。那是不是说那些网站都是采用的 session 机制呢
|
 |
3
baiyi 2019-12-03 13:30:45 +08:00  1
想起了我一年多前发过的帖子，也是类似问题
总结来说就是有些场景需要服务器端存储用户会话状态，所以还是用 session 更好，JWT 更适合的场景还是一次性授权令牌 |
Select Language