接口鑑權：Session/Cookie 與 JWT 的核心區別

你說的非常對：傳統 Web 項目用 Session/Cookie，前後端分離的接口項目（RESTful API）必須用 JWT，核心原因是架構變了—— 傳統是服務端渲染頁面，現在是前端獨立、接口無狀態。

我用最通俗、最核心的方式，把兩者的區別講清楚：

一、先搞懂：為什麼傳統接口不能用 Session？

1. Session 的工作原理（有狀態）

瀏覽器登錄 → 服務端生成 Session 存在內存 / 數據庫
服務端返回一個 SessionID 存在Cookie裡
下次請求 → 瀏覽器自動帶 Cookie → 服務端查 Session 確認身份

2. Session 致命缺點（不適合接口）

強依賴 Cookie：跨域、小程序、App、第三方調用都受限
服務端必須存狀態：分佈式 / 多服務器要做 Session 共享（Redis 同步）
前後端分離不友好：前端是純客戶端，不依賴瀏覽器自動帶 Cookie

所以：接口鑑權必須拋棄 “服務端存狀態” 的方案 → JWT 應運而生

二、JWT 是什麼？（無狀態）

JWT = JSON Web Token

一句話：把用戶身份信息加密成一串字符串，存在客戶端，服務端不存任何登錄狀態。

工作流程：

登錄成功 → 服務端用密鑰簽發 JWT（不存任何數據）
前端把 JWT 存在本地（localStorage / 小程序緩存）
每次請求接口 → 前端手動把 JWT 放在請求頭裡
服務端只用密鑰驗證 JWT 是否合法，不用查庫

三、Session / Cookie 與 JWT 的核心區別（一張表看懂）

表格

對比維度	Session / Cookie	JWT
存儲位置	服務端存儲，客戶端只存 ID	全部存在客戶端，服務端零存儲
狀態	有狀態（服務端要查會話）	無狀態（Stateless，接口天然支持分佈式）
跨域 / 跨端	差（依賴 Cookie，跨域限制大）	極強（支持 Web、小程序、App、第三方接口）
分佈式部署	麻煩（需要 Session 共享）	極簡單（多臺服務器直接用同一密鑰驗證）
請求方式	瀏覽器自動帶 Cookie	前端手動傳（請求頭 / 參數）
安全特點	易受 CSRF 攻擊	無 CSRF 風險
適用場景	傳統網站、服務端渲染	前後端分離、RESTful API、微服務

四、最關鍵的 3 個本質區別

1. 有無狀態（最核心）

Session：服務端必須記住你登錄了（有狀態）
JWT：服務端不記得任何人，只認令牌（無狀態） → 接口架構必須無狀態，所以 JWT 是標準

2. 數據存在哪裡

Session：存在服務器
JWT：存在客戶端自己手裡

3. 擴展性

Session：服務器越多越麻煩
JWT：隨便加服務器，完全不用改代碼

五、簡單總結：為什麼接口要用 JWT？

不依賴 Cookie，跨域、小程序、App 全支持
服務端不存登錄狀態，分佈式 / 集群隨便擴
標準通用，所有前後端分離架構都用它
安全可控，可設置過期、可加密、可防篡改

總結

Session/Cookie：適合傳統網站，服務端存狀態，依賴瀏覽器
JWT：適合接口鑑權，無狀態、跨端、分佈式友好

你可以簡單記：

網站用 Session，接口用 JWT；有狀態用 Session，無狀態用 JWT。

<!-- JWT 工具：jjwt，Spring5 兼容 -->
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.5</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>

此內容由慣性聚合(RSS閱讀器)自動聚合整理，僅供閱讀參考。原文來自 — 版權歸原作者所有。

推薦訂閱源

博客园 - 锐洋智能

接口鑑權：Session/Cookie 與 JWT 的核心區別

一、先搞懂：為什麼傳統接口不能用 Session？

1. Session 的工作原理（有狀態）

2. Session 致命缺點（不適合接口）

二、JWT 是什麼？（無狀態）

三、Session / Cookie 與 JWT 的核心區別（一張表看懂）

四、最關鍵的 3 個本質區別

1. 有無狀態（最核心）

2. 數據存在哪裡

3. 擴展性

五、簡單總結：為什麼接口要用 JWT？

總結