在现代 Web 应用中，很多开发者选择使用 基于令牌（Token）认证，比如 JWT（JSON Web Token），而不使用传统的 Session 认证。虽然 Session 认证在许多早期 Web 应用中广泛使用，但它在某些场景下有局限性，因此很多开发者在设计系统时会倾向于使用 Token 认证。
这个问题也是一些企业在招聘研发岗位人员时经常问到的一个问题，下面是一些为什么有些系统不使用 Session 认证的原因：
1. 无状态性 (Statelessness)
Session 认证 是 有状态的，这意味着服务器必须保存客户端的会话信息（例如用户的登录状态）。每次请求时，服务器都会从会话存储（如内存、数据库等）中查找该用户的会话。
- 缺点：随着用户量的增加，服务器需要维护大量的会话状态信息，这可能导致性能瓶颈，尤其是在分布式架构下。如果会话存储集中在一个服务器上，可能会造成单点故障。
Token 认证（如 JWT） 是 无状态的，这意味着所有的认证信息都存储在 Token 内部，并且可以在客户端持有（例如浏览器的本地存储或 Cookie 中）。服务器不需要存储任何会话数据，所有的信息都可以在 Token 中进行验证。
- 优点：这种无状态认证方式更加灵活，易于扩展，特别适合分布式应用和微服务架构，因为每个服务不需要依赖中心化的会话存储。
2. 跨域认证（CORS）
在现代 Web 开发中，应用程序通常需要处理 跨域请求。使用 Session 认证 时，浏览器会自动处理 Cookies，这通常会因为跨域问题变得复杂。不同的域名可能无法共享 Session 数据，从而导致认证失败。
- 缺点：Session 认证在跨域时常常需要一些额外的配置（例如设置
SameSiteCookies 和跨域支持），如果设计不当，可能会导致安全漏洞或认证失败。
使用 JWT 作为认证方式时，Token 是通常通过 HTTP 请求的 Authorization Header 发送，不会受到浏览器的跨域限制。因此，它适合跨域 API 请求，尤其是在微服务架构和移动端应用中。
3. 性能与可扩展性
Session 认证 依赖于服务器在内存或数据库中存储会话数据，这会导致 性能问题，尤其是当用户数量激增时，服务器的会话存储可能成为瓶颈。为了保持状态，必须为每个客户端会话分配内存，并且每个请求都需要查找对应的 Session 数据。
Token 认证 则没有此问题，因为 Token 是自包含的，所有必要的信息（如用户身份和权限）都已编码在 Token 中。每个请求只需要通过简单的签名验证即可，服务器无需查找会话数据，这降低了对服务器内存的依赖，并且支持更高的并发量。
- 优点：Token 认证不依赖服务器存储，能更容易地扩展到分布式系统。
4. 适用于移动设备和 SPA（单页面应用）
在移动设备和 SPA（如 React 或 Vue.js 应用）中，客户端应用通常是通过 API 与后端进行通信。在这种情况下，Token 认证 更为常见，因为它不依赖于浏览器的 Cookies，令牌可以存储在本地存储（LocalStorage）或内存中，并且直接通过 Authorization Header 发送到后端 API。
- Session 认证 在这种场景中使用起来较为复杂，因为它依赖于 Cookies 存储和发送会话 ID，这对于移动端应用和跨域 API 请求来说并不理想。
5. 单点登录（SSO）
Token 认证（特别是 JWT）通常比 Session 更适合 单点登录（SSO）。在 SSO 中，用户只需要一次登录，就可以访问多个独立的应用。Token 可以在多个应用之间传递，允许每个应用独立地验证用户身份，而不需要共享会话状态。
相比之下，Session 认证需要在每个应用之间共享会话数据，这在多域环境中可能会非常复杂。
6. 易于集成与前后端分离架构
在 前后端分离 的应用中，通常使用 RESTful API 进行通信。在这种架构下，使用 JWT 作为认证方式更加方便。Token 可以通过请求的 Header 发送，前端和后端可以独立开发，Token 本身包含用户的身份信息和权限信息，无需服务器维护会话状态。
- Session 认证通常依赖于浏览器的会话管理机制，这对于前后端分离架构可能导致一些不便，尤其是在无状态的 REST API 中。
7. 安全性
尽管 Session 认证 在过去被认为是安全的，但它也有一些潜在的安全风险：
- Session 劫持：如果攻击者能够窃取 Session ID，他们就能够冒充合法用户。
- 跨站请求伪造（CSRF）：Session 认证通常依赖于 Cookies，而 Cookies 可能被恶意网站利用发送请求。
Token 认证（如 JWT）通常通过 HTTPS 加密传输，并且 Token 本身带有签名，难以伪造。对于 Web 应用而言，Token 不依赖于 Cookies，减少了 CSRF 攻击的风险。
🚀 结论
虽然 Session 认证仍然适用于一些简单的 Web 应用，但 Token 认证（尤其是 JWT）在现代 Web 开发中具有许多优点：
- 更加适合 分布式系统、微服务架构 和 跨域请求。
- 避免了服务器存储和管理会话的开销。
- 更适合 前后端分离 和 移动应用。
- 更便于实现 单点登录（SSO）。
因此，Token 认证 成为许多现代 Web 应用（尤其是使用 RESTful API 或微服务架构的应用）中更常见的选择。