JWT与Session的实战选择-杂谈(1)
JWT与Session的实战选择:从原理到踩坑心得
作为在金融科技领域经历过多次认证方案迭代的开发者,我想分享一些实战经验。这两种方案适用场景各异,选型需慎重考量。
一、本质差异:状态管理方式
Session机制:服务端维护的状态存储方案。典型实现是在Redis中存储用户会话数据,客户端仅持有session_id标识。最大优势在于可控性强 - 需要强制下线时直接删除对应Redis键,修改权限时实时更新数据。
JWT机制:无状态设计,将用户信息编码并签名后传递给客户端。每次请求客户端都需携带完整令牌。优势在于服务端无需维护状态,特别适合分布式架构和微服务体系。
二、实战中的痛点分析
1. 会话终止处理
- Session方案:直接在存储层删除对应记录即可实现立即失效
- JWT方案:由于无状态特性,要么设置较短有效期(影响用户体验),要么维护吊销列表(实质上又回到有状态设计)
在我参与的一个金融交易系统中,最初采用JWT实现,但在实现"异常账户冻结"功能时,不得不引入Redis黑名单,这种折中方案既增加了复杂性,又没能充分利用JWT的优势。
// JWT黑名单实现示例 (Node.js + Redis)
const jwt = require('jsonwebtoken');
const redis = require('redis');
const client = redis.createClient();// 用户注销时将令牌加入黑名单
async function logout(token) {// 解析JWT获取过期时间const decoded = jwt.decode(token);const exp = decoded.exp;const now = Math.floor(Date.now() / 1000);const ttl = exp - now;if (ttl > 0) {// 将令牌存入Redis黑名单,TTL设为剩余有效期await client.setEx(`blacklist:${token}`, ttl, '1');}return { success: true };
}// 验证令牌是否在黑名单中
async function verifyToken(token) {// 首先检查黑名单const blacklisted = await client.get(`blacklist:${token}`);if (blacklisted) {throw new Error('Token has been revoked');}// 然后验证签名和过期时间return jwt.verify(token, process.env.JWT_SECRET);
}
2. 数据安全考量
- Session只暴露无语义的标识符
- JWT会将部分用户数据Base64编码后传输(注意:这不是加密)
我曾在审计一个支付网关时发现,前端开发将完整JWT置于URL参数中传输,导致用户标识信息被完整记录在各类日志中,构成潜在的数据泄露风险。
graph TDsubgraph "JWT结构"A[Header: {"alg":"HS256","typ":"JWT"}]B[Payload: {"uid":"123","role":"admin"}]C[Signature]endA -- Base64编码 --> D[eyJhbGciOiJIUzI1...]B -- Base64编码 --> E[eyJ1aWQiOiIxMjM...]C -- 加密签名 --> F[Xa2jsD_wd32...]D & E & F --> G[完整JWT令牌]H[风险: Base64可被轻易解码] --> B
3. 性能权衡分析
- Session需要每次查询存储层
- JWT仅需验证签名有效性
需要注意的是:采用非对称加密算法(如RSA)的JWT验证过程可能比简单的Redis查询更消耗计算资源,尤其在高并发场景下。
三、场景化选型建议
选择Session的适用场景:
- 需要严格的访问控制与实时权限管理
- 业务逻辑复杂,授权状态频繁变更
- 已部署可靠的分布式缓存基础设施
选择JWT的适用场景:
- 构建纯RESTful API服务
- 多端应用支持(移动应用、小程序等)
- 需要完全无状态部署的微服务架构
四、实用技术策略
JWT最佳实践:
- 严格控制载荷信息,避免包含敏感数据
- 合理设置有效期(建议30分钟内)并实现刷新机制
- 使用强密码学算法保障签名安全(推荐ES256)
// Java实现JWT刷新机制
public class JwtAuthService {private static final long ACCESS_TOKEN_VALIDITY = 1800000; // 30分钟private static final long REFRESH_TOKEN_VALIDITY = 86400000; // 24小时public JwtTokenPair createTokenPair(UserDetails user) {String accessToken = createToken(user, ACCESS_TOKEN_VALIDITY);String refreshToken = createToken(user, REFRESH_TOKEN_VALIDITY);return new JwtTokenPair(accessToken, refreshToken);}public JwtTokenPair refreshTokens(String refreshToken) {// 验证refresh token的有效性Claims claims = validateToken(refreshToken);// 检查token类型if (!"refresh".equals(claims.get("type"))) {throw new InvalidTokenException("Not a refresh token");}// 获取用户信息并创建新的token对String username = claims.getSubject();UserDetails user = userDetailsService.loadUserByUsername(username);return createTokenPair(user);}private String createToken(UserDetails user, long validity) {Date now = new Date();Date expiryDate = new Date(now.getTime() + validity);Map<String, Object> claims = new HashMap<>();claims.put("roles", user.getAuthorities().stream().map(GrantedAuthority::getAuthority).collect(Collectors.toList()));claims.put("type", validity == REFRESH_TOKEN_VALIDITY ? "refresh" : "access");return Jwts.builder().setClaims(claims).setSubject(user.getUsername()).setIssuedAt(now).setExpiration(expiryDate).signWith(SignatureAlgorithm.ES256, securityKey).compact();}
}
Session最佳实践:
- 实现科学的过期策略与续期机制
- 配置cookie的HttpOnly与Secure特性增强传输安全
- 在分布式环境中妥善处理session同步与一致性问题
// Spring Boot中配置安全的Session Cookie
@Configuration
public class SessionConfig {@Beanpublic CookieSerializer cookieSerializer() {DefaultCookieSerializer serializer = new DefaultCookieSerializer();serializer.setCookieName("SESSIONID");serializer.setCookiePath("/");serializer.setDomainNamePattern("^.+?\\.(\\w+\\.[a-z]+)$");serializer.setCookieMaxAge(3600); // 1小时serializer.setUseHttpOnlyCookie(true);serializer.setUseSecureCookie(true); // 仅HTTPS传输serializer.setSameSite("Lax");return serializer;}@Beanpublic RedisSessionRepository sessionRepository(RedisConnectionFactory factory) {RedisIndexedSessionRepository repository = new RedisIndexedSessionRepository(factory);repository.setDefaultMaxInactiveInterval(1800); // 30分钟return repository;}
}
五、混合架构案例
在我负责的一个金融风控系统中,我们最初采用纯JWT方案,后期为满足实时风控与权限调整需求,演进为Session+JWT混合架构:短期认证通过JWT实现,权限数据则实时从Session获取。
// 混合架构的伪代码实现
async function auth(req, res, next) {try {// 1. 验证JWT的有效性const token = req.headers.authorization?.split(' ')[1];if (!token) throw new Error('未提供认证令牌');const decoded = jwt.verify(token, JWT_SECRET);req.user = { id: decoded.uid }; // JWT中只包含基础身份信息// 2. 从Session获取详细权限信息const sessionId = req.cookies.sid;if (!sessionId) throw new Error('未提供会话标识');const session = await redisClient.get(`session:${sessionId}`);if (!session) throw new Error('会话已失效');const userData = JSON.parse(session);// 合并权限数据到请求上下文req.user.permissions = userData.permissions;req.user.roles = userData.roles;req.user.accountStatus = userData.accountStatus;// 3. 检查账户状态是否正常if (userData.accountStatus !== 'active') {throw new Error('账户已被冻结或暂停');}next();} catch (error) {res.status(401).json({ error: error.message });}
}
认证方案没有绝对的优劣,适配业务需求才是核心。
您的系统采用了哪种认证方案?在实践中遇到了哪些挑战?欢迎分享您的实战经验。
相关文章:
JWT与Session的实战选择-杂谈(1)
JWT与Session的实战选择:从原理到踩坑心得 作为在金融科技领域经历过多次认证方案迭代的开发者,我想分享一些实战经验。这两种方案适用场景各异,选型需慎重考量。 一、本质差异:状态管理方式 Session机制:服务端维护…...
SQL Server安装后 Reporting Services 配置失败
问题现象: 完成 SQL Server 2022 安装后,尝试配置 Reporting Services (SSRS) 时失败,错误提示 “报表服务器数据库配置无效” 或 “无法启动 Reporting Services 服务”(错误代码 0x80070005)。 快速诊断 检查服务状态…...
操作系统面经(一)
部分参考来自小林coding 线程、进程、协程 进程是操作系统分配资源(内存、文件等)的基本单位,每个进程独立运行,互相隔离,稳定性高但开销大;线程是CPU调度的基本单位,属于同一进程的多个线程共…...
Qt 中 findChild和findChildren绑定自定义控件
在 Qt 中,findChild 和 findChildren 是两个非常实用的方法,用于在对象树中查找特定类型的子对象。这两个方法是 QObject 类的成员函数,因此所有继承自 QObject 的类都可以使用它们。当您需要查找并绑定自定义控件时,可以按照以下…...
对模板方法模式的理解
对模板方法模式的理解 一、场景1、题目【[来源](https://kamacoder.com/problempage.php?pid1087)】1.1 题目描述1.2 输入描述1.3 输出描述1.4 输入示例1.5 输出示例 二、不采用模板方法模式1、代码2、问题 三、采用模板方法模式1、代码 四、总结 一、场景 1、题目【来源】 …...
SpringMVC+Spring+MyBatis知识点
目录 一、相关概念 1.关系 2.网页 3.架构 4.URL 5.http 6.https 7.服务器 8.Tomcat 9.Servelet 10.Javaweb作用域对象 11.JSP 二、相关操作 1.RequestDispatcher 2.sendRedirect 3.cookie 4.Session 5.Filter过滤器 6.Listener监听器 7.MVC模型 8.JDBC连接…...
程序化广告行业(58/89):系统架构与广告反作弊深度剖析
程序化广告行业(58/89):系统架构与广告反作弊深度剖析 大家好!在程序化广告这个充满挑战与机遇的领域,不断学习和探索是保持竞争力的关键。今天,我希望和大家一起学习进步,深入了解程序化广告行…...
一周学会Pandas2 Python数据处理与分析-NumPy简介
锋哥原创的Pandas2 Python数据处理与分析 视频教程: 2025版 Pandas2 Python数据处理与分析 视频教程(无废话版) 玩命更新中~_哔哩哔哩_bilibili NumPy(Numerical Python)是Python的一种开源的数值计算扩展。这种工具可用来存储和处理大型矩…...
第二十七章:Python-Aquarel库与多种主题库结合实现Matplotlib美化
资源绑定附上完整资料供读者参考学习! 一、库介绍与安装 1.1 Aquarel库 Aquarel是一个轻量级的Python库,用于简化Matplotlib的样式配置,使数据可视化更加美观和高效。 1.2 Catppuccin库 Catppuccin是一个社区驱动的粉彩主题库࿰…...
leetcode155.最小栈
思路源自 【力扣hot100】【LeetCode 155】最小栈 为了让检索时间达到o(1),采用空间换时间,维护两个栈,第一个栈实现正常的push、pop、top,另一个栈的栈顶每次都只放以一个栈中最小的元素 class MinStack …...
Mysql 中的 MyISAM 引擎
🧱 什么是 MyISAM? MyISAM 是 MySQL 早期的默认存储引擎,特点是结构简单、读取速度快,但不支持事务和行级锁。 它适合那些 读多写少、对事务安全要求不高 的场景,比如旧版博客系统、数据仓库等。 📦 MyISA…...
操作系统、虚拟化技术与云原生及云原生AI简述
目录 操作系统基础 操作系统定义 操作系统的组成 操作系统的分类 Linux操作系统特性 虚拟化技术 概述 CPU虚拟化 内存虚拟化 I/O虚拟化 虚拟化技术 虚拟化平台管理工具 容器 容器与云原生:详细介绍 容器的特点 什么是云原生? 云原生的特点 容器与云原生的…...
Java EE期末总结(第二章)
目录 一、JSP页面里的page指令 二、JSP脚本元素 1、全局声明<%!……%> 2、表达式<%……%> 3、脚本程序段<%……%> 三、文件包含指令include 四、引入标签库指令taglib 五、JSP动作标签 1、包含文件动作标签 2、请求转发动作标签 3、JavaBean动作标签 …...
FreeRTOS任务查询和信息统计API
下面例举几个常见的任务查询API(其余可参考FreeRTOS开发手册): UBaseType_t Priority; Priority uxTaskPriorityGet(QUERYTask_Handler); printf("Task Pri %d \r\n",Priority); TaskStatus_t * TaskStatusArray; UBaseType_t …...
SQLark(百灵连接):一款面向信创应用开发者的数据库开发和管理工具
SQLark(百灵连接)是一款面向信创应用开发者的数据库开发和管理工具,用于快速查询、创建和管理不同类型的数据库系统。 目前可以支持达梦数据库、Oracle 以及 MySQL。 SQL 智能编辑器 基于语法语义解析实现代码补全能力,为你提供…...
Linux | 安装超级终端串口软件连接i.MX6ULL开发板(8)
01 它的安装步骤也非常简单,安装语言选择中文简体,点击确定,如下图所示。 点击下一步,如下图所示。 02...
Qt 事件系统负载测试:深入理解 Qt 事件处理机制
Qt 事件系统负载测试:深入理解 Qt 事件处理机制 文章目录 Qt 事件系统负载测试:深入理解 Qt 事件处理机制摘要引言实现原理1. 自定义事件类型2. 事件队列管理3. 性能指标监控4. 事件发送机制 性能监控实现1. 负载计算2. 内存监控3. 延迟计算 使用效果优化…...
如何评价Manus?
Manus是由Monica公司发布的全球首款通用型AI Agent产品,定位于一个性能强大的通用型助手,能够独立思考、规划并执行复杂任务,直接交付完整的任务成果。 Manus 这个名字灵感来源于拉丁格言 “Mens et Manus”(意为“头脑与双手”),寓意它既能动脑也能动手。 Manus的核…...
AI浪潮下的IT职业转型:医药流通行业传统IT顾问的深度思考
AI浪潮下的IT职业转型:医药流通行业传统IT顾问的深度思考 一、AI重构IT行业的技术逻辑与实践路径 1.1 医药流通领域的智能办公革命 在医药批发企业的日常运营中,传统IT工具正经历颠覆性变革。以订单处理系统为例,某医药集团引入AI智能客服…...
2011-2019年各省地方财政国土资源气象等事务支出决策数数据
2011-2019年各省地方财政国土资源气象等事务支出决策数数据 1、时间:2007-2019年 2、来源:国家统计局、统计年鉴 3、指标:行政区划代码、地区、年份、地方财政国土资源气象等事务支出决策数 4、范围:31省 5、指标说明&#x…...
《微服务概念进阶》精简版
🤟致敬读者 🟩感谢阅读🟦笑口常开🟪生日快乐⬛早点睡觉 📘博主相关 🟧博主信息🟨博客首页🟫专栏推荐🟥活动信息 文章目录 什么是微服务(进阶精简版&#x…...
免费送源码:Java+SSM+Android Studio 基于Android Studio游戏搜索app的设计与实现 计算机毕业设计原创定制
摘要 本文旨在探讨基于SSM框架和Android Studio的游戏搜索App的设计与实现。首先,我们详细介绍了SSM框架,这是一种经典的Java Web开发框架,由Spring、SpringMVC和MyBatis三个开源项目整合而成,为开发企业级应用提供了高效、灵活、…...
栈回溯和离线断点
栈回溯和离线断点 栈回溯(Stack Backtrace) 栈回溯是一种重建函数调用链的技术,对于分析栈溢出的根本原因非常有价值。 实现方式 // 简单的栈回溯实现示例(ARM Cortex-M架构) void stack_backtrace(void) {uint32_…...
探索轻量高性能的 Rust HTTP 服务器框架 —— Hyperlane
探索轻量高性能的 Rust HTTP 服务器框架 —— Hyperlane 随着互联网应用对性能和实时性要求的不断提升,选择一个高效且易于扩展的 HTTP 服务器框架变得尤为重要。今天,我们将介绍一个专为 Rust 开发者设计的框架 —— Hyperlane。该框架不仅支持 HTTP 请…...
第四章 表单(3)- 表单验证
在Blazor中,表单的验证可以通过两种方式实现,一种是使用Blazor所提供表单验证特性,另一种是使用ValidationMessageStore进行验证。 表单验证的基础使用(内置特性) 一、内置特性表单验证的开启 Blazor中,使用表单组件<EditFo…...
手撕AVL树
引入:为何要有AVL树,二次搜索树有什么不足? 二叉搜索树有其自身的缺陷,假如往树中插入的元素有序或者接近有序,二叉搜索树就会退化成单支树,时间复杂度会退化成O(N),因此产生了AVL树,…...
Linux驱动开发练习案例
1 开发目标 1.1 架构图 操作系统:基于Linux5.10.10源码和STM32MP157开发板,完成tf-a(FSBL)、u-boot(SSBL)、uImage、dtbs的裁剪; 驱动层:为每个外设配置DTS并且单独封装外设驱动模块。其中电压ADC测试,采用linux内核…...
Redis 下载 — Ubuntu22.04稳定版,配置
官方文档 : https://redis.io/docs/latest/operate/oss_and_stack/install/install-redis/ Nano学习 : 【Linux环境下最先应该掌握的文本编辑器nano】https://www.bilibili.com/video/BV1p8411z7dJ?vd_source5ce003da2a16f44ea73ec9bbc30389e4 Redis配置…...
有没有可以帮助理解高数的视频或者书籍资料?
高数的学习是一个入门很高,但是一旦入门之后,就会变得比较简单的科目。 可是,我们应该怎么入门高数呢?在当年刚开始学习高数的时候,我也有过这样的困惑。 但是,后来我发现,我总是可以在经历一…...
了解拦截器
目录 什么是拦截器 拦截器的基本使用 拦截器的使用步骤 拦截器路径设置 拦截器执行流程 一、什么是拦截器 拦截器是Spring框架提供的核心功能之一,主要用来拦截用户的请求,在指定方法前后,根据业务需要执行预先设定的代码。 开发人员可以…...
Linux / Windows 下 Mamba / Vim / Vmamba 安装教程及安装包索引
目录 背景0. 前期环境查询/需求分析1. Linux 平台1.1 Mamba1.2 Vim1.3 Vmamba 2. Windows 平台2.1 Mamba2.1.1 Mamba 12.1.2 Mamba 2- 治标不治本- 终极版- 高算力版 2.2 Vim- 治标不治本- 终极版- 高算力版 2.3 Vmamba- 治标不治本- 终极版- 高算力版 3. Linux / Windows 双平…...
prism WPF 对话框
项目结构 1.创建对话框 用户控件 Views \ DialogView.xaml <UserControl x:Class"PrismWpfApp.Views.DialogView"xmlns"http://schemas.microsoft.com/winfx/2006/xaml/presentation"xmlns:x"http://schemas.microsoft.com/winfx/2006/xaml"…...
eventEmitter实现
没有做任何异常处理,简单模拟实现 事件对象的每一个事件都对应一个数组 /*__events {"事件1":[cb1,cb2],"事件2":[cb3,cb4],"事件3":[...],"事件4":[...],};*/class E{__events {};constructor(){}//注册监听回调on(type , callbac…...
Koordinator-NodeInfoCollector
Run 每秒执行一次 func (n *nodeInfoCollector) Run(stopCh <-chan struct{}) {go wait.Until(n.collectNodeInfo, n.collectInterval, stopCh) }collectNodeInfo() 采集node cpu信息采集node numa信息func (n *nodeInfoCollector) collectNodeInfo() {started := time.No…...
洛谷题单3-P5724 【深基4.习5】求极差 最大跨度值 最大值和最小值的差-python-流程图重构
题目描述 给出 n n n 和 n n n 个整数 a i a_i ai,求这 n n n 个整数中的极差是什么。极差的意思是一组数中的最大值减去最小值的差。 输入格式 第一行输入一个正整数 n n n,表示整数个数。 第二行输入 n n n 个整数 a 1 , a 2 … a n a_1,…...
SignalR给特定User发送消息
1、背景 官网上SignalR的demo很详细,但是有个特别的问题,就是没有详细阐述如何给指定的用户发送消息。 2、解决思路 网上整体解决思路有三个: 1、最简单的方案,客户端连接SignalR的Hub时,只是简单的连接,…...
新浪财经股票每天10点自动爬取
老规矩还是先分好三步,获取数据,解析数据,存储数据 因为股票是实时的,所以要加个cookie值,最好分线程或者爬取数据时等待爬取,不然会封ip 废话不多数,直接上代码 import matplotlib import r…...
【CSP】202403-1词频统计
文章目录 算法思路1. 数据结构选择2. 输入处理3. 统计出现的文章数4. 输出结果 代码示例代码优化 样例输入 4 3 5 1 2 3 2 1 1 1 3 2 2 2 2 3 2样例输出 2 3 3 6 2 2算法思路 1. 数据结构选择 vector<int>:用于存储每篇文章的单词列表(可能包含…...
CentOs系统部署DNS服务
1. 安装 Bind 软件包 首先需要安装bind以及相关的工具包,在终端中执行以下命令: bash sudo yum install bind bind-utils -y2. 配置主配置文件 Bind 的主配置文件是/etc/named.conf,你可以使用文本编辑器(如vim)打开…...
LintCode第974题-求矩阵各节点的最短路径(以0为标准)
描述 给定一个由0和1组成的矩阵,求每个单元格最近的0的距离。 两个相邻细胞之间的距离是1。 给定矩阵的元素数不超过10,000。 在给定的矩阵中至少有一个0。 单元格在四个方向上相邻:上,下,左和右。 样例 例1: 输入: [[0,0,0],[0,0,0],[0…...
吴恩达深度学习复盘(6)神经网络的矢量化原理
矢量化基础是线性运算,这里先简单复习一下。线性基本运算基本没什么,大量使用的有点乘和叉乘。 基本例子 1. 矩阵的基本概念 - 矩阵可以看作是一个块或者二维数组,这是对矩阵的一个在计算机计算的直观描述。 2. 向量的点积(内积…...
ISIS多区域配置
一、什么是ISIS多区域 ISIS(Intermediate System to Intermediate System)多区域是指网络被划分为多个逻辑区域(Areas),不同区域之间通过特定的ISIS路由器(Level-1-2)进行路由交互。多区域设计提…...
The emulator process for AVD xxx has terminated
问题描述 离线环境下部署Android虚拟机,启动时报错The emulator process for AVD xxx has terminated,其中xxx为虚拟机名称。 解决过程 可先在C:\Users\admin\AppData\Local\Google\AndroidStudio2024.3\log目录下找到idea.log文件,其中记录…...
Haskell语言的区块链扩展性
Haskell语言的区块链扩展性研究 引言 区块链技术近年来在金融、供应链、物联网等多个领域取得了显著的进展。作为一种分布式账本技术,区块链的核心在于其去中心化、不可篡改和透明性。然而,随着应用的不断深入,区块链面临着可扩展性、性能、…...
第11/100节:三点估算
第11/100节:三点估算 三、完成某信息系统集成项目中的一个最基本的工作单元 A 所需的时间,乐观的估计需 8 天,悲观的估计需 38天,最可能的估计需 20 天,按照三点估算方法进行估算,项目的工期应该为…...
Tourists
一道圆方树恶心题,*3200,不知道为什么不评黑。 这道题很容易直接想到圆方树:因为两个操作如果在树上,都需要树链剖分 线段树维护。而将这么一个普通图转化为一棵树,也就只有圆方树这种形式了。 于是就可以综合使用圆…...
【动态规划】深入动态规划:连续子结构的算法剖析
文章目录 前言例题一、最大子数组和二、环形子数组的最大和三、 乘积最大子数组四、乘积为正数的最长子数组五、等差数列划分六、最长湍流子数组七、单词拆分八、环绕字符串中唯一的子字符串 结语 前言 什么是是动态规划连续子数组、子串系列算法问题? 连续子数组问题通常聚焦…...
结肠镜3D视频数据集-C3VD论文中文版
文章目录 标题作者摘要一、介绍1.1. 相关工作1.1.1. 内镜重建数据集1.1.2. 注册真实和虚拟内窥镜图像1.1.3. 2D-3D注册1.2. 贡献 二、方法2.1. 幻影模型生产2.2. 数据采集2.3. 注册流程概述2.3.1. 数据预处理2.3.2. 目标深度估计2.3.3. 渲染深度帧2.3.4. 边缘损失和优化 2.4. 模…...
封装自己的api签名sdk
api平台接口调用,需要通过签名去核对是不是有效的用户,,一般会给两个key,acceeKey 和 secretKey,第一个相当于用户名,第二个相当于密钥,,,前端通过一定的算法,࿰…...
ASP.NET Core Web API 中 HTTP状态码的分类及对应的返回方法
文章目录 前言一、HTTP状态码分类及常用方法二、具体返回方法示例1) 2xx 成功类2)4xx 客户端错误3)5xx 服务器错误4)其他特殊状态码 三、高级返回方式1)使用 IActionResult 与 ActionResult<T>2)统一…...