JWT可以替代基于会话的Web应用程序身份验证吗？

Question

几乎所有Web框架中使用的基于传统会话的身份验证都可以被JWT取代;还是JWT设计的其他客户（例如移动优先）？

使用JWT替代基于cookie的会话身份验证有哪些缺点？

Answer 1

JWT确实可以替代基于会话的身份验证，因为通常保留在会话中的所有信息现在都可以包含在客户端存储的自包含安全JSON对象中。如果客户端是浏览器，则JWT甚至可以用作会话cookie，在这种情况下，JWT用例会与基于cookie的会话身份验证一起崩溃。 JWT优于cookie的典型优势是JWT可以跨域使用。缺点是JWT的大小通常较大（因为它包含更多信息，并且因为保护其内容涉及加密）。