如何评估使用JWT令牌而不是SAML的性能优势？

Question

我正在使用Azure ACS评估在SSO方案中使用JWT令牌而不是SAML令牌。 JWT被宣传为比SAML更轻量级，但我不确定如何评估该声明。我假设令牌是通过FedAuth和FedAuth1 cookie传递的，但在我的测试中，两个令牌之间的cookie大小是一致的。如果使用JWT时cookie有点大。

我的用法适用于流量较小的ASP.NET和WebAPI。

Answer 1

FedAuth1,2,3 ,,, cookies大小与用于验证调用者的令牌类型并不完全相关。 ClaimsIdentity是身份验证和任何声明扩充或转换的结果，是Cookie中包含的内容。

我说'不完全'是因为：

1. 如果您选择'savebootstrapcontext' [见http://msdn.microsoft.com/en-us/library/system.identitymodel.configuration.identityconfiguration.savebootstrapcontext(v=vs.110).aspx]然后会有一点点差异。

2. jwt声明类型往往比SAML小，这也可能有所不同。