基于令牌或基于会话的授权？

Question

我正在制作一个 web 应用程序，它使用会话进行授权。 我还遇到了使用 JWT 的基于令牌的授权。 我想知道哪个更安全，整体更好。 我还计划为我的 web 应用程序创建一个移动应用程序。 所以考虑到这一点，哪一个是更好的选择？

谢谢！

Answer 1

您通常希望在浏览器和后端之间使用基于 cookie 的 session 身份验证。 这是经过验证、易于理解且安全的身份验证方式。

由于存在各种安全问题，我建议不要在浏览器中使用令牌。 我建议您观看此视频以了解有关此内容的详细信息。

OpenID-Connect 是一种对用户进行身份验证的好方法，并且在令牌服务和后端客户端之间使用令牌，API 非常适合令牌。