现在都是如何记录用户状态的， session 、jwt？

[asche910]

如题，如果网站做大点，往往是使用分布式 session，统一存储或者根据 hash 映射到对应的机器？

还是使用类似 jwt 这样的机制，把存储交给客户端来完成？

后者是直接把 jwt 值直接放在Authorization头部还是放在 Cookie 头部呢？另外会不会再对 jwt 做个简单的加密？ 毕竟我看了好多网站并没有 Authorization 头部，而且 Cookie 里也没有类似 jwt 格式的值。

[dcalsky]

JWT: Token 放 Header 的 Authorization 字段里，私密信息不要放 payload 里。对 token 不必要再加密了，因为生成 token 的时候，已经有一个加密过程（比如 HS256 ）了。建议再看下简介： https://jwt.io/introduction/

[asche910]

@dcalsky 这些我知道，只是比较疑惑看了那么多的大网站，请求里都没有带上 Authorization 头部。那是不是说那些网站都是采用的 session 机制呢

[FinnBai]

想起了我一年多前发过的帖子，也是类似问题
总结来说就是有些场景需要服务器端存储用户会话状态，所以还是用 session 更好，JWT 更适合的场景还是一次性授权令牌

[dcalsky]

@asche910 门户网站都是没有的，你可以看看那些 SAP 站点，国外网站也多看看。