在Web開發中，身份驗證和授權是關鍵的安全環節。為了實作這些功能，開發者經常使用的技術包括Cookie、Session、Token和JWT（JSON Web Token）。本文將詳細介紹這些技術，並透過實戰案例展示它們的套用。
一、Cookie
Cookie是Web伺服器發送到使用者瀏覽器並保存在瀏覽器上的一小塊數據。每當瀏覽器請求該網站時，瀏覽器會將Cookie發送給伺服器，以便伺服器辨識使用者。
優點 ：
實作簡單，方便跟蹤使用者狀態。
缺點 ：
安全性較低，容易被截獲或偽造。
不適合儲存敏感資訊。
二、Session
Session是基於伺服器端的會話跟蹤技術。伺服器會為每個會話建立一個唯一的Session ID，並將其發送給客戶端（通常透過Cookie）。客戶端在每次請求時都會攜帶這個ID，伺服器透過ID辨識使用者。
優點 ：
相對於Cookie更安全，因為敏感數據儲存在伺服器端。
缺點 ：
伺服器需要儲存大量Session數據，可能導致效能問題。
不易擴充套件，特別是在分布式系統中。
三、Token
Token是一種身份驗證方式，伺服器生成一個包含使用者資訊的令牌（Token），並將其發送給客戶端。客戶端在每次請求時攜帶這個令牌，伺服器透過驗證令牌來辨識使用者。
優點 ：
無狀態，易於擴充套件和分布式部署。
安全性較高，可以透過加密演算法保證數據傳輸的安全性。
缺點 ：
需要對Token進行管理和驗證，增加了伺服器的負擔。
四、JWT（JSON Web Token）
JWT是一種基於Token的身份驗證方式，它定義了一種緊湊的、自包含的方式，用於在雙方之間安全地傳輸資訊作為JSON物件。這些資訊可以被驗證、信任，因為它們是數位簽名的。
優點 ：
自包含，包含了使用者的所有資訊，伺服器無需查詢資料庫即可驗證使用者身份。
易於擴充套件和分布式部署。
安全性高，透過數位簽名防止數據被篡改。
缺點 ：
Token長度較長，可能增加傳輸開銷。
一旦JWT被盜用，攻擊者可以偽裝成合法使用者進行惡意操作。因此，需要設定較短的過期時間，並結合其他安全措施使用。
實戰套用
以下是一個簡單的JWT實戰案例：
使用者登入 ：使用者輸入使用者名稱和密碼進行登入。伺服器驗證使用者資訊後，生成一個包含使用者資訊的JWT，並將其發送給客戶端。
客戶端儲存JWT ：客戶端將收到的JWT儲存在本地（如localStorage或Cookie）。
發送請求 ：客戶端在每次發送請求時，在請求頭中添加一個名為
Authorization的欄位，值為Bearer <JWT>，其中<JWT>是之前儲存的JWT。伺服器端驗證 ：伺服器接收到請求後，從請求頭中提取JWT，並進行驗證。如果JWT有效且未過期，則處理請求；否則，返回錯誤響應。
登出 ：使用者可以選擇登出。在登出時，客戶端應刪除儲存的JWT，以確保後續請求無法透過身份驗證。
結論
Cookie、Session、Token和JWT都是Web開發中常用的身份驗證和授權技術。它們各有優缺點，需要根據具體的套用場景和需求來選擇合適的技術。在實際開發中，可以結合使用這些技術以提高系統的安全性和效能。例如，在需要使用者狀態跟蹤的場景中，可以使用Cookie和Session；在需要分布式部署和擴充套件性的場景中，可以使用Token或JWT。
