JWT 提供无状态的身份验证，有效避免 CSRF 攻击，适合移动端应用和单点登录。然而，JWT 在注销、续签等问题上存在挑战。为了解决 JWT 的注销问题，可以采用存储JWT、黑名单机制或修改密钥等策略。JWT的续签可以通过类似Session的策略、每次请求返回新JWT、设置较长时间有效期或使用双JWT机制来实现。选择JWT还是Session认证取决于项目需求。
本文原发于 JWT 身份认证优缺点分析 。
在 JWT 基本概念详解这篇文章中，我介绍了：
- 什么是 JWT?
- JWT 由哪些部分组成？
- 如何基于 JWT 进行身份验证？
- JWT 如何防止 Token 被篡改？
- 如何加强 JWT 的安全性？
这篇文章，我们一起探讨一下 JWT 身份认证的优缺点以及常见问题的解决办法。
JWT 的优势
相比于 Session 认证的方式来说，使用 JWT 进行身份认证主要有下面 4 个优势。
无状态
JWT 自身包含了身份验证所需要的所有信息，因此，我们的服务器不需要存储 Session 信息。这显然增加了系统的可用性和伸缩性，大大减轻了服务端的压力。
不过，也正是由于 JWT 的无状态，也导致了它最大的缺点：不可控！
就比如说，我们想要在 JWT 有效期内废弃一个 JWT 或者更改它的权限的话，并不会立即生效，通常需要等到
订阅专栏 解锁全文
扫一扫
1万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
