session,cookies，token三者的区别以及作用场景

场景描述

fjh到健身房去练胸肌&＃xff0c;首先领了钥匙&＃xff0c;然后进了更衣间&＃xff0c;把衣服&＃xff0c;裤子&＃xff0c;手机&＃xff0c;钱包都放在盒子里面。

plw也到健身房&＃xff0c;去练翘臀。首先领了钥匙&＃xff0c;然后 进了更衣间&＃xff0c;把衣服&＃xff0c;裤子&＃xff0c;手机&＃xff0c;《Java 21天从入门到精通》也放在了一个盒子里&＃xff0c;但是这个盒子是和fjh的是不同的。

健身房&＃xff0c;就相当于服务器&＃xff0c;盒子&＃xff0c;就是会话Session。

切换到我们常见的购物网站的场景
plw登陆天猫之后&＃xff0c;在购物车里看到的物品是蜡烛和皮鞭
fjh登陆天猫之后&＃xff0c;在购物车里看到的物品是手铐和《Java 21天从入门到精通》

fjh和plw都有自己的盒子&＃xff0c;那么他们怎么知道哪个盒子是自己的呢&＃xff1f;
通过钥匙就能找到自己的盒子了。

盒子对应服务器上的Session。
钥匙对应浏览器上的COOKIE

可这只能在健身房用啊&＃xff0c;怎样能做到跨健身房也能验证打开盒子呢&＃xff1f;

今天是9102年了&＃xff0c;盒子存放东西被人们摒弃了&＃xff0c;出现了一门高科技&＃xff0c;因为出现了有人伪造钥匙偷走了东西&＃xff0c;放在健身房的东西在家也能看到&＃xff0c;用手机人脸识别就可打开应用并进行相应操作&＃xff0c;并且只有本人才能看到盒子的东西&＃xff1b;

家相当于另一个服务器&＃xff0c;人脸识别技术相当于token认证&＃xff1b;

token可以抵抗csrf&＃xff0c;COOKIE&＃43;session不行

假如用户正在登陆银行网页&＃xff0c;同时登陆了攻击者的网页&＃xff0c;并且银行网页未对csrf攻击进行防护。攻击者就可以在网页放一个表单&＃xff0c;该表单提交src为http://www.bank.com/api/transfer&＃xff0c;body为count&＃61;1000&to&＃61;Tom。倘若是session&＃43;COOKIE&＃xff0c;用户打开网页的时候就已经转给Tom1000元了.因为form 发起的 POST 请求并不受到浏览器同源策略的限制&＃xff0c;因此可以任意地使用其他域的 COOKIE 向其他域发送 POST 请求&＃xff0c;形成 CSRF 攻击。在post请求的瞬间&＃xff0c;COOKIE会被浏览器自动添加到请求头中。但token不同&＃xff0c;token是开发者为了防范csrf而特别设计的令牌&＃xff0c;浏览器不会自动添加到headers里&＃xff0c;攻击者也无法访问用户的token&＃xff0c;所以提交的表单无法通过服务器过滤&＃xff0c;也就无法形成攻击。

分布式情况下的session和token

我们已经知道session是有状态的&＃xff0c;一般存于服务器内存或硬盘中&＃xff0c;当服务器采用分布式或集群时&＃xff0c;session就会面对负载均衡问题。

• 负载均衡多服务器的情况&＃xff0c;不好确认当前用户是否登录&＃xff0c;因为多服务器不共享session。这个问题也可以将session存在一个服务器中来解决&＃xff0c;但是就不能完全达到负载均衡的效果。当今的几种解决session负载均衡的方法。

而token是无状态的&＃xff0c;token字符串里就保存了所有的用户信息

• 客户端登陆传递信息给服务端&＃xff0c;服务端收到后把用户信息加密&＃xff08;token&＃xff09;传给客户端&＃xff0c;客户端将token存放于localStroage等容器中。客户端每次访问都传递token&＃xff0c;服务端解密token&＃xff0c;就知道这个用户是谁了。通过cpu加解密&＃xff0c;服务端就不需要存储session占用存储空间&＃xff0c;就很好的解决负载均衡多服务器的问题了。这个方法叫做JWT(Json Web Token)

token认证流程

token 的认证流程与COOKIE很相似

• 用户登录&＃xff0c;成功后服务器返回Token给客户端。
• 客户端收到数据后保存在客户端
• 客户端再次访问服务器&＃xff0c;将token放入headers中
• 服务器端采用filter过滤器校验。校验成功则返回请求数据&＃xff0c;校验失败则返回错误码

最后

• session存储于服务器&＃xff0c;可以理解为一个状态列表&＃xff0c;拥有一个唯一识别符号sessionId&＃xff0c;通常存放于COOKIE中。服务器收到COOKIE后解析出sessionId&＃xff0c;再去session列表中查找&＃xff0c;才能找到相应session。
• COOKIE类似一个令牌&＃xff0c;装有sessionId&＃xff0c;存储在客户端&＃xff0c;浏览器通常会自动添加。
• token也类似一个令牌&＃xff0c;无状态&＃xff0c;用户信息都被加密到token中&＃xff0c;服务器收到token后解密就可知道是哪个用户。需要开发者手动添加。
  似一个令牌&＃xff0c;无状态&＃xff0c;用户信息都被加密到token中&＃xff0c;服务器收到token后解密就可知道是哪个用户。需要开发者手动添加。
• jwt只是一个跨域认证的方案