[] - 2022-10-15 JWT 实现登录认证 + Token 自动续期方案，这才是正确的使用姿势！.pdf

JWT 实现登录认证 + Token 自动续期方案 概述：本文将详细介绍基于 JWT 的登录认证和 Token 自动续期方案，比较 JWT 和 Session 的差异，并讨论 JWT 的优缺点和安全性问题。 知识点 1：JWT 和 Session 的差异 * JWT 是一种 token-based 认证机制， token 保存在客户端，而 Session 则是保存在服务器端。 * JWT 中的数据使用 base64 编码，无法存储敏感数据。 * Session 需要结合 Cookie 实现认证，需要浏览器支持 Cookie，因此移动端无法使用 Session 认证方案。 知识点 2：JWT 的优点 * JWT 可以在分布式环境下不需要做额外的工作。 * JWT 可以在客户端存储数据，不需要服务器端存储。 知识点 3：JWT 的缺点 * JWT 的 payload 使用 base64 编码，无法存储敏感数据。 * JWT 的长度可能很长，Cookie 的限制大小一般是 4KB，因此 JWT 一般放置在 Local Storage 中。 * 使用 JWT 的 HTTP 请求的 Header 可能比 Body 大。 知识点 4：JWT 的自动续期方案 * 一旦签发一个 JWT，在到期之前就会始终有效，无法中途废弃。 * 想要废弃 JWT，需要签发一个新的 JWT。 * 可以使用 Redis 来续签 JWT。 知识点 5：JWT 的安全性问题 * JWT 的 payload 使用 base64 编码，无法存储敏感数据。 * 如果在 JWT 中存储了敏感信息，可以解码出来非常不安全。 知识点 6：JWT 和 Session 的比较 * Session 需要结合 Cookie 实现认证，需要浏览器支持 Cookie，因此移动端无法使用 Session 认证方案。 * JWT 可以在分布式环境下不需要做额外的工作。 知识点 7：JWT 的续签方案 * 可以使用 Redis 来续签 JWT。 * 可以每次请求刷新 JWT，即每个 HTTP 请求都返回一个新的 JWT。 * 可以在 Redis 中单独为每个用户设置续签时间。