3-1. SpringBoot项目集成【用户身份认证】实战 【技术选型篇】基于Session、Token、JWT怎么选？

前言

通过第二章2-2. SpringBoot API开发详解 --SpringMVC注解+封装结果+支持跨域+打包，我们实现了基于SpringBoot项目的API接口开发，并实现 API结果统一封装、支持跨域请求等等功能，接下来开始第三章，主要做用户身份认证，主要实现一套统一鉴权的用户身份认证的机制。

我已经提前和狗哥一起讨论确定了认证机制，会采用目前流行的基于JWT的Token用户身份认证机制，主流程如下：

1. 前端请求【用户名+密码登录】接口，后端验证通过后生成Token 返回给前端;
2. 前端保存Token，以后每次请求API都会携带Token，后端校验Token通过就正常返回数据;
3. 直到后端校验Token已失效，这时再从第1步重新开始。
   

为什么这么选型？我们都考虑了哪些点？
OK，那我也很乐意和大家一起探讨：怎么做好用户身份认证！
网上很多文章大多直接整合JWT，并没有讲解 为什么选择JWT？与其它选型对比有什么优缺点？ 这些都是我们实战的基础，也会让我们代码写的清清楚楚、明明白白。不管写毕业设计，这是面试谈项目亮点，本文也将是你可以参考的点！
用户身份认证很重要，很多小细节，等你收割！相信本文一定会让你有所收获！OK，Let’s go！

PS，完整的用户身份认证代码早已实现，和狗哥也已联调通过，将分三篇来写，非常详细，料很足，准备好发车喽，Let’s go！
本文对应思维导图：

---

专栏介绍

因为可能还有很多同学还不清楚上下文，所以简单介绍一下这个专栏要做的事：

天罡老哥和狗哥(博客主页)有意从0到1带大家搭建一个SpringBoot+SpringCloud+Vue的前后端分离项目！
打造一个短小精悍、技术主流、架构规范的前后端分离实战项目！我负责后端，狗哥负责前端！
目的就是让大家通过项目实战，学到一些真东西，将所学理论落地，助力有心强大的你更快的成长！开启你的工作之旅，让开发游刃有余！

详细的后端规划和后端大纲思维导图在开篇已经给出，你可以到开篇查收：基于SpringBoot+SpringCloud+Vue前后端分离项目实战 --开篇。

---

---

---

提前说明：

因为HTTP 是无状态的协议，每个请求都是完全独立的，服务端无法确认当前访问者的身份信息，无法分辨上一次的请求发送者和这一次的发送者是不是同一个人，所以就需要在用户登录后进行登录态的管理。

一、基于Cookie的Session(会话)认证机制

其中有一种是基于Session的方式，是一种记录服务端和浏览器会话状态的机制，大致的流程如下：

1. 登录成功后，服务端根据用户信息生成唯一标识SessionId ，比如根据用户ID+加随机盐salt，然后进行各种加密生成

2. 服务端保存SessionId以及对应的用户信息，比如保存在内存或Redis等，需要维护过期时间。然后将SessionId写入Cookie。

3. 前端请求API时会自动携带Cookie中的SessionId，服务端通过SessionId获取Session进行校验：

   • 如果找到 Session 证明用户已经登录，进行后续处理；
   • 如果未找到Session说明用户没有登录或者登录失效，这时再从第1步重新开始。