網易二面：token是用來鑒權的，那session是用來干什么的？
JWT用于無狀態的用戶認證，提供便捷和擴展性；Session作為輔助，提供額外的安全性和狀態管理。通過這種結合，可以充分利用兩者的優點，確保系統既具備高擴展性，又能提供細致的安全控制。
使用JWT進行用戶認證和授權，而Session在一定程度上起到了輔助作用。讓我們詳細討論JWT和Session在這種結合模式中的各自作用以及為什么需要Session。
JWT的作用
- 用戶認證： JWT包含了用戶的身份信息和權限信息，客戶端每次請求時將JWT發送給服務器，服務器通過驗證JWT來確認用戶身份。
- 無狀態性： JWT不需要在服務器端存儲用戶會話信息，因此服務器可以是無狀態的，便于擴展和負載均衡。
Session的作用
- 附加的安全層： 即使JWT是無狀態的，但在某些應用場景中，僅依賴JWT可能存在一些安全問題，例如Token的泄露或濫用。Session可以作為一個額外的安全層，確保Token即使有效，也必須在服務器的Session管理器中存在對應的會話。
- 管理Token的生命周期： 通過Session，可以更方便地管理Token的生命周期，例如強制用戶重新登錄、手動注銷Token等操作。
- 控制“記住我”功能： 如果用戶選擇了“記住我”選項，Session可以記錄這個狀態，并在JWT過期后，通過Session來決定是否允許繼續使用舊的Token。
為什么需要創建Session
盡管JWT可以在無狀態環境中使用，但Session的引入帶來了以下好處：
- 防止Token濫用： 通過在服務器端驗證Session，可以確保即使Token有效，也必須是經過服務器端認證的，從而防止Token被惡意使用。
- 支持用戶主動注銷： 當用戶選擇注銷時，可以直接刪除服務器端的Session記錄，確保Token即使沒有過期，也無法再被使用。
- 提供更精細的控制： 通過Session，可以實現更精細的權限控制和用戶狀態管理，例如強制下線、會話過期時間控制等。
- 狀態追蹤： 在某些場景下，追蹤用戶狀態是必要的，例如監控用戶的活躍度、登錄歷史等，這些信息可以通過Session進行管理。
結合JWT和Session的優勢
結合使用JWT和Session，可以同時利用兩者的優點，實現安全性和擴展性的平衡：
- 無狀態認證： JWT可以實現無狀態認證，便于系統的水平擴展和負載均衡。
- 狀態管理和安全性： Session可以提供額外的狀態管理和安全性，確保Token的使用更加安全可靠。
代碼示例
以下是一個簡化的代碼示例，展示了如何在用戶登錄時創建JWT和Session：
public LoginResponse login(String username, String password) throws AuthException {
// 驗證用戶名和密碼
User user = userService.authenticate(username, password);
if (user == null) {
thrownew AuthException("Invalid username or password");
}
// 生成JWT Token
String token = createJwt(user.getId(), user.getRoles());
// 創建會話
sessionManagerApi.createSession(token, user);
// 返回Token
returnnew LoginResponse(token);
}
public void createSession(String token, User user) {
LoginUser loginUser = new LoginUser();
loginUser.setToken(token);
loginUser.setUserId(user.getId());
loginUser.setRoles(user.getRoles());
sessionManagerApi.saveSession(token, loginUser);
}在請求驗證時，首先驗證JWT的有效性，然后檢查Session中是否存在對應的會話：
@Override
public DefaultJwtPayload validateToken(String token) throws AuthException {
try {
// 1. 先校驗jwt token本身是否有問題
JwtContext.me().validateTokenWithException(token);
// 2. 獲取jwt的payload
DefaultJwtPayload defaultPayload = JwtContext.me().getDefaultPayload(token);
// 3. 如果是7天免登陸，則不校驗session過期
if (defaultPayload.getRememberMe()) {
return defaultPayload;
}
// 4. 判斷session里是否有這個token
LoginUser session = sessionManagerApi.getSession(token);
if (session == null) {
thrownew AuthException(AUTH_EXPIRED_ERROR);
}
return defaultPayload;
} catch (JwtException jwtException) {
if (JwtExceptionEnum.JWT_EXPIRED_ERROR.getErrorCode().equals(jwtException.getErrorCode())) {
thrownew AuthException(AUTH_EXPIRED_ERROR);
} else {
thrownew AuthException(TOKEN_PARSE_ERROR);
}
} catch (io.jsonwebtoken.JwtException jwtSelfException) {
thrownew AuthException(TOKEN_PARSE_ERROR);
}
}總結
在這個場景中，JWT用于無狀態的用戶認證，提供便捷和擴展性；Session作為輔助，提供額外的安全性和狀態管理。通過這種結合，可以充分利用兩者的優點，確保系統既具備高擴展性，又能提供細致的安全控制。
責任編輯：武曉燕
來源：
碼猿技術專欄
