インターフェース認証：セッション/クッキーとJWTの核心的な違い

あなたの言う通りです：従来のWebプロジェクトではセッション/クッキーを使用し、フロントエンドとバックエンドが分離されたインターフェースプロジェクト（RESTful API）ではJWTを使用する必要があります。核心的な理由はアーキテクチャが変わったから——従来はサーバーサイドレンダリングのページでしたが、現在はフロントエンドが独立し、インターフェースが状態レスです。

私は最も一般的で核心的な方法で、両者の違いを明確に説明します：

一、まず理解する：なぜ従来のインターフェースではセッションは使えないのか？

セッションの動作原理（状態を持つ場合）

ブラウザのログイン → サーバーセッションを生成しメモリ/データベースに保存
サーバーはSessionID存在するCookieを返す
次のリクエスト → ブラウザが自動的にCookieを送信 → サーバーがセッションを検索して認証

2. セッションの致命的な欠点（インターフェースに適さない）

強くCookieに依存：クロスドメイン、小程序、アプリ、サードパーティの呼び出しに制限
サーバーは状態を保存しなければならない：分散型 / 複数サーバーでセッション共有（Redis 同期）
の前後でフロントエンドとバックエンドの分離が不親切：フロントエンドは純粋なクライアントで、ブラウザが自動的に Cookie を持ってこない

したがって：インターフェース認証は「サーバーで状態を保存する」方法を捨てる必要がある → JWT が登場

二、JWT とは？（状態なし）

JWT = JSON Web Token

一言で言えば：ユーザー情報を暗号化して文字列にし、クライアントに保存し、サーバーはログイン状態を一切保存しない。

動作フロー：

ログイン成功 → サーバーがキーで JWT を発行（データを一切保存しない）
フロントエンドはJWTをローカルに保存（localStorage / 小程序キャッシュ）
各リクエスト → フロントエンドJWTをリクエストヘッダーに手動で追加
サーバーサイドは鍵を使ってJWTの合法性を検証のみ、データベース検索は不要

3. Session / CookieとJWTの核心的な違い（1枚の表で理解）

表

比較の维度	Session / Cookie	JWT
保存場所	サーバー側にデータを保存し、クライアント側にはIDのみを保存	すべてのデータがクライアント側に存在、サーバー側はゼロストア
状態	状態あり（サーバーがセッションを検索する必要がある）	状態なし（Stateless、インターフェースが自然に分散処理をサポート）
クロスドメイン / クロスエンドポイント	悪い（Cookieに依存、クロスドメイン制限が大きい）	非常に強（Web、小程序、アプリ、サードパーティインターフェースをサポート）
分散デプロイメント	面倒（セッション共有が必要）	非常に簡単（複数のサーバーが同じキーで検証）
リクエスト方法	ブラウザが自動的に Cookie を持ってくる	フロントエンド手動で送信（リクエストヘッダー / パラメータ）
セキュリティの特徴	CSRF 攻撃に容易にさらされる	CSRF のリスクがない
適用シーン	従来のウェブサイト、サーバーサイドレンダリング	フロントエンドとバックエンドの分離、RESTful API、マイクロサービス

四、最も重要な 3 つの本質的な違い

状態の有無（最も核心）

セッションサーバーはあなたがログインしたことを覚えておく必要があります（状態を持つ）
JWTサーバーは誰も覚えない。トークンのみを認識する（ステートレス）インターフェースのアーキテクチャはステートレスである必要があり、そのためJWTは標準です

2. データはどこにありますか

セッション：サーバーに存在します
JWTは存在しますクライアント側で自分で持っている

3. 拡張性

セッション：サーバーが多いほど面倒になる
JWT：サーバーを好きに追加し、コードを変更する必要が全くない

五、簡単なまとめ：なぜインターフェースにJWTを使用するのか

Cookieに依存しない、クロスドメイン、小程序、アプリともにサポート
サーバーでログイン状態を保存しない、分散/クラスタリングで自由に拡張可能
標準的で一般的、すべてのフロントエンド/バックエンド分離アーキテクチャで使用
セキュアで管理可能、有効期限を設定したり、暗号化したり、改ざん防止が可能

まとめ

Session/Cookie：伝統的なウェブサイトに適しており、サーバーで状態を保存し、ブラウザに依存
JWT：インターフェース認証に適しており、状態レス、クロスデバイス、分散システムに親和性が高い

簡単に覚えておくと：

ウェブサイトにはSessionを使い、インターフェースにはJWTを使う；状態がある場合はSessionを使い、状態がない場合はJWTを使う。

<!-- JWT 工具：jjwt，Spring5 兼容 -->
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.5</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>

このコンテンツは慣性聚合(RSSリーダー)によって自動集約されています。参考としてご覧ください。原文出典 — 著作権は原著者に帰属します。

おすすめ購読元

博客园 - 锐洋智能