面试官：Session和JWT有什么区别？

最新推荐文章于 2025-05-27 16:58:18 发布

繁川

最新推荐文章于 2025-05-27 16:58:18 发布

阅读量1.3k

点赞数 33

CC 4.0 BY-SA版权

分类专栏： Java面试精选文章标签： php 运维开发语言

本文链接：https://blog.csdn.net/2401_85373732/article/details/144740127

引言

在用户和服务器之间建立认证状态是Web开发中常见的需求。Session和JWT（JSON Web Token）是两种常用的机制，但它们在工作原理、存储方式和安全性等方面存在差异。

什么是JWT？

JWT是一种开放标准（RFC 7519），用于在网络上安全传输信息的简洁、自包含的方式。它通常被用于身份验证和授权机制。JWT由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。

头部（Header）：包含了关于生成该JWT的信息以及所使用的算法类型。
载荷（Payload）：包含了要传递的数据，例如身份信息和其他附属数据。JWT官方规定了7个字段，可供使用：
- iss (Issuer)：签发者。
- sub (Subject)：主题。
- aud (Audience)：接收者。
- exp (Expiration time)：过期时间。
- nbf (Not Before)：生效时间。
- iat (Issued At)：签发时间。
- jti (JWT ID)：编号。
签名（Signature）：使用密钥对头部和载荷进行签名，以验证其完整性。

JWT优点分析

相较于传统的基于会话（Session）的认证机制，JWT具有以下优势：

无需服务器存储状态：服务器无需存储任何会话状态信息，所有的认证和授权信息都包含在JWT中。
跨域支持：JWT可以轻松地在多个域之间进行传递和使用，实现跨域授权。
适应微服务架构：在微服务架构中，很多服务是独立部署并且可以横向扩展的，这就需要保证认证和授权的无状态性。
自包含：JWT包含了认证和授权信息，以及其他自定义的声明，这些信息都被编码在JWT中。
扩展性：JWT可以被扩展和定制，可以按照需求添加自定义的声明和数据。

JWT基本使用

在Java开发中，可以借助JWT工具类来方便的操作JWT，例如HuTool框架中的JWTUtil。

3.1 添加HuTool框架依赖

在pom.xml中添加以下依赖：

<dependency>
    <groupId>cn.hutool</groupId>
    <artifactId>hutool-all</artifactId>
    <version>5.8.16</version>
</dependency>

3.2 生成Token

Map<String, Object> map = new HashMap<String, Object>() {
   
   
    private static final long serialVersionUID = 1L;
    {
   
   
        put("uid", Integer.parseInt("123")); // 用户ID
        put("expire_time", System.currentTimeMillis() + 1000 * 60 * 60 * 24 * 15); // 过