/post/tech/%E5%85%AB%E8%82%A1/%E9%80%9A%E7%94%A8/ Recent content in 通用 on 文的超级笔记 Hugo -- 0.152.2 zh Mon, 12 Oct 2026 00:00:00 +0000 /post/tech/%E5%85%AB%E8%82%A1/%E9%80%9A%E7%94%A8/jwt%E5%92%8Csession/ Mon, 12 Oct 2026 00:00:00 +0000 /post/tech/%E5%85%AB%E8%82%A1/%E9%80%9A%E7%94%A8/jwt%E5%92%8Csession/ <h2 id="相关问题">相关问题</h2> <ol> <li>JWT 和 Session 有什么区别？</li> <li>JWT 和 Session 分别是如何实现用户身份认证的？</li> <li>Cookie、Session 和 JWT 三者有什么关系？</li> <li>为什么 Session 通常需要使用 Redis？分布式环境下如何共享 Session？</li> <li>JWT 由哪三部分组成？各自有什么作用？</li> <li>JWT 是如何生成和验证签名的？为什么能够防止篡改？</li> <li>JWT 是加密的吗？Payload 中可以存储敏感信息吗？</li> <li>JWT 中 HS256 和 RS256 有什么区别？</li> <li>JWT 为什么可以实现无状态认证？无状态有什么优缺点？</li> <li>为什么 Session 可以主动注销，而 JWT 难以主动注销？</li> <li>JWT 有哪些注销方案？各自有什么优缺点？</li> <li>JWT 使用 Redis 黑名单或 Token 版本号后，是否又变成了有状态认证？</li> <li>Access Token 和 Refresh Token 分别有什么作用？为什么需要两种 Token？</li> <li>Refresh Token 应该如何存储？如果被盗了怎么办？</li> <li>JWT 和 Session 被盗后，攻击者能否冒用用户身份？如何防范？</li> <li>JWT 应该存储在 Cookie 还是 localStorage 中？分别有什么安全风险？</li> <li>如果 JWT 每次验证都需要查询 Redis，为什么不直接使用 Session？</li> <li>如果让你设计一个 Go 后端登录认证系统，你会选择 JWT 还是 Session？为什么？</li> </ol> <h2 id="session-和-jwt">Session 和 JWT</h2> <p>在后端开发中，Session 和 JWT 是两种常见的身份认证方案。它们经常被放在一起比较，但如果只是记住“Session 有状态，JWT 无状态”，其实并没有真正理解它们的设计思想。</p>