JWT vs Session 认证：应该使用哪一种？

认证是几乎每个 Web 应用程序的基本组成部分。在构建登录系统时，开发人员通常会在两种主要方案之间选择：JWT（JSON Web Token）和传统的基于 Session 的认证。每种方案都有其独特的优势和取舍。

Session 认证的工作原理是将会话数据存储在服务器上。用户登录时，服务器创建 session，将其存储在内存或数据库中，并将 session ID cookie 发送给客户端。每次请求时，服务器查找 session 来识别用户。

相比之下，JWT 认证是无状态的。服务器创建一个包含用户信息的令牌，并使用密钥进行签名。客户端存储此令牌（通常在 localStorage 或 cookie 中），并在每次请求时发送。服务器验证签名，无需查找任何会话数据。

Session 认证的优点：实现简单、易于失效（删除 session）、通过 SameSite cookie 提供内置 CSRF 保护、无令牌大小问题。缺点：服务器内存占用、扩展需要共享 session 存储（Redis）、不适合移动应用。

JWT 的优点：无状态且可扩展、跨域跨设备工作、非常适合移动应用和微服务、无需服务器端存储。缺点：令牌不易撤销、载荷较大、安全性取决于密钥的正确管理。

对于大多数传统的服务器端渲染 Web 应用，session 认证仍然是更简单、更安全的选择。对于 SPA、移动应用或微服务架构，JWT 提供了更好的灵活性和可扩展性。