# JWT、Token 与登录认证到底是怎么工作的
【摘要】 登录以后，服务器必须知道后续请求是谁发来的。## Session传统 Web：```text浏览器 ↓Session ID ↓服务器 Session```## TokenAPI 常见：```textAuthorization: Bearer <token>```服务器验证 Token 后确定身份。## JWTJWT 通常由 Header、Payload、Signature 构成。需要注意：>...
登录以后，服务器必须知道后续请求是谁发来的。
## Session
传统 Web：
```text
浏览器
↓
Session ID
↓
服务器 Session
```
## Token
API 常见：
```text
Authorization: Bearer <token>
```
服务器验证 Token 后确定身份。
## JWT
JWT 通常由 Header、Payload、Signature 构成。
需要注意：
> JWT 通常不是加密数据。
不要把密码、私钥等秘密放进 Payload。
## Access Token 与 Refresh Token
实际系统可能使用：
```text
Access Token
短时间有效
Refresh Token
用于获取新的 Access Token
```
这样可以降低长期凭证泄露的影响。
## Token 存储
浏览器中如何存储 Token，要结合 XSS、CSRF、Cookie 属性和整体架构决定。
不能简单认为“JWT 一定比 Session 安全”。
## 小结
认证真正需要考虑的是：
```text
身份
凭证生命周期
过期
撤销
存储
权限
```
【声明】本内容来自华为云开发者社区博主，不代表华为云及华为云开发者社区的观点和立场。转载时必须标注文章的来源（华为云社区）、文章链接、文章作者等基本信息，否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容，欢迎发送邮件进行举报，并提供相关证据，一经查实，本社区将立刻删除涉嫌侵权内容，举报邮箱：
cloudbbs@huaweicloud.com
- 点赞
- 收藏
- 关注作者
评论（0）