新闻中心

【 Web认证 】Cookie、Session 与 JWT Token：Web 认证机制的原理、实现与对比

2025-12-01
浏览次数：次
返回列表

本项目演示了三种常见的web认证方式：cookie认证、session认证和jwt token认证。通过spring boot后端和vue3前端的实现，展示了不同认证机制的工作原理和使用场景。

## 目录结构```plainauth-demo/├── backend/ # Spring Boot后端项目│ ├── src/main/j*a/com/example/authdemo/│ │ ├── controller/ # 控制器│ │ ├── model/ # 模型│ │ ├── config/ # 配置│ │ └── util/ # 工具类│ └── pom.xml # M*en配置├── frontend/ # Vue3前端项目│ ├── src/│ │ ├── components/ # 组件│ │ ├── services/ # API服务│ │ └── App.vue # 主应用│ └── package.json # NPM配置└── README.md # 本文档```

## 1. Cookie认证### 1.1 工作原理

☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 免费无限量使用 DeepSeek R1 模型☜☜☜

【 Web认证 】Cookie、Session 与 JWT Token：Web 认证机制的原理、实现与对比

Cookie认证是一种基于客户端存储的认证机制，主要通过以下步骤工作：

1. **登录过程**： - 用户提交用户名和密码 - 服务器验证凭据 - 验证成功后，生成会话ID - 服务器将会话ID通过`Set-Cookie`响应头设置到客户端Cookie中 - 会话ID与用户信息的映射存储在服务器端2. **请求验证**： - 客户端发起后续请求时，自动在请求头中携带Cookie - 服务器从Cookie中提取会话ID - 服务器验证会话ID的有效性 - 如果会话ID有效，服务器识别用户身份并处理请求3. **登出过程**： - 客户端发起登出请求 - 服务器从存储中删除会话ID - 服务器设置Cookie的过期时间为0，使Cookie失效

### 1.2 代码实现#### 后端实现**CookieAuthController.j*a**

```j*apackage com.example.authdemo.controller;

import com.example.authdemo.model.User;import jakarta.servlet.http.Cookie;import jakarta.servlet.http.HttpServletRequest;import jakarta.servlet.http.HttpServletResponse;import org.springframework.web.bind.annotation.*;

import j*a.util.HashMap;import j*a.util.Map;import j*a.util.UUID;

@RestController@RequestMapping(\"/api/cookie-auth\")@CrossOrigin(origins = \"http://localhost:5174\", allowCredentials = \"true\")public class CookieAuthController {

// 模拟用户数据库 private static final Map\u003cString, User\u003e users = new HashMap\u003c\u003e(); // 模拟会话存储 private static final Map\u003cString, String\u003e sessions = new HashMap\u003c\u003e();

static { // 预创建测试用户 users.put(\"admin\", new User(\"admin\", \"password\", \"ADMIN\")); users.put(\"user\", new User(\"user\", \"password\", \"USER\")); }

@PostMapping(\"/login\") public Map\u003cString, String\u003e login(@RequestBody User user, HttpServletResponse response) { // 验证用户 User storedUser = users.get(user.getUsername()); if (storedUser != null \u0026\u0026 storedUser.getPassword().equals(user.getPassword())) { // 生成会话ID String sessionId = UUID.randomUUID().toString(); // 将会话ID与用户名关联 sessions.put(sessionId, user.getUsername()); // 创建Cookie Cookie cookie = new Cookie(\"sessionId\", sessionId); cookie.setPath(\"/\"); cookie.setHttpOnly(true); cookie.setMaxAge(3600); // 1小时有效期 // 添加Cookie到响应 response.addCookie(cookie); Map\u003cString, String\u003e result = new HashMap\u003c\u003e(); result.put(\"message\", \"Login successful\"); result.put(\"username\", user.getUsername()); return result; } Map\u003cString, String\u003e error = new HashMap\u003c\u003e(); error.put(\"message\", \"Invalid username or password\"); return error; }

@PostMapping(\"/logout\") public Map\u003cString, String\u003e logout(HttpServletRequest request, HttpServletResponse response) { // 获取Cookie中的会话ID Cookie[] cookies = request.getCookies(); if (cookies != null) { for (Cookie cookie : cookies) { if (\"sessionId\".equals(cookie.getName())) { // 从会话存储中移除 sessions.remove(cookie.getValue()); // 使Cookie失效 cookie.setPath(\"/\"); cookie.setMaxAge(0); response.addCookie(cookie); break; } } } Map\u003cString, String\u003e result = new HashMap\u003c\u003e(); result.put(\"message\", \"Logout successful\"); return result; }

@GetMapping(\"/profile\") public Map\u003cString, Object\u003e getProfile(HttpServletRequest request) { // 验证Cookie中的会话ID Cookie[] cookies = request.getCookies(); if (cookies != null) { for (Cookie cookie : cookies) { if (\"sessionId\".equals(cookie.getName())) { String username = sessions.get(cookie.getValue()); if (username != null) { User user = users.get(username); Map\u003cString, Object\u003e profile = new HashMap\u003c\u003e(); profile.put(\"username\", user.getUsername()); profile.put(\"role\", user.getRole()); profile.put(\"authenticated\", true); return profile; } } } } Map\u003cString, Object\u003e error = new HashMap\u003c\u003e(); error.put(\"message\", \"Not authenticated\"); error.put(\"authenticated\", false); return error; }}```

#### 前端实现**api.js**

```j*ascriptexport const cookieAuthApi = { // 登录 login: async (username, password) =\u003e { return await api.post('/cookie-auth/login', { username, password }, { withCredentials: true // 允许携带cookie }); }, // 登出 logout: async () =\u003e { return await api.post('/cookie-auth/logout', {}, { withCredentials: true }); }, // 获取用户信息 getProfile: async () =\u003e { return await api.get('/cookie-auth/profile', { withCredentials: true }); }};```

【 Web认证 】Cookie、Session 与 JWT Token：Web 认证机制的原理、实现与对比

### 1.3 优缺点**优点**：

+ 实现简单，无需客户端特殊处理+ 自动管理，浏览器自动携带Cookie+ 可以设置HttpOnly标志，提高安全性

**缺点**：

+ 受同源策略限制+ 服务器需要存储会话状态，不利于水平扩展+ 可能存在CSRF攻击风险

## 2. Session认证### 2.1 工作原理Session认证是基于服务器端存储的认证机制，Spring Boot默认提供了Session支持：

【 Web认证 】Cookie、Session 与 JWT Token：Web 认证机制的原理、实现与对比

1. **登录过程**： - 用户提交用户名和密码 - 服务器验证凭据 - 验证成功后，创建HttpSession对象 - 将用户信息存储在Session对象中 - 服务器自动设置JSESSIONID Cookie到客户端2. **请求验证**： - 客户端发起请求时携带JSESSIONID Cookie - 服务器根据JSESSIONID查找对应的HttpSession对象 - 如果Session存在且有效，从Session中获取用户信息3. **登出过程**： - 客户端发起登出请求 - 服务器调用session.invalidate()使Session失效 - JSESSIONID Cookie也会相应失效

### 2.2 代码实现#### 后端实现**SessionAuthController.j*a**

```j*apackage com.example.authdemo.controller;

import com.example.authdemo.model.User;import jakarta.servlet.http.HttpSession;import org.springframework.web.bind.annotation.*;

import j*a.util.HashMap;import j*a.util.Map;

@RestController@RequestMapping(\"/api/session-auth\")@CrossOrigin(origins = \"http://localhost:5174\", allowCredentials = \"true\")public class SessionAuthController {

// 模拟用户数据库 private static final Map\u003cString, User\u003e users = new HashMap\u003c\u003e();

static { // 预创建测试用户 users.put(\"admin\", new User(\"admin\", \"password\", \"ADMIN\")); users.put(\"user\", new User(\"user\", \"password\", \"USER\")); }

@PostMapping(\"/login\") public Map\u003cString, String\u003e login(@RequestBody User user, HttpSession session) { // 验证用户 User storedUser = users.get(user.getUsername()); if (storedUser != null \u0026\u0026 storedUser.getPassword().equals(user.getPassword())) { // 将用户信息存储到Session中 session.setAttribute(\"user\", storedUser); session.setMaxInactiveInterval(3600); // 1小时有效期 Map\u003cString, String\u003e result = new HashMap\u003c\u003e(); result.put(\"message\", \"Login successful\"); result.put(\"username\", user.getUsername()); result.put(\"sessionId\", session.getId()); return result; } Map\u003cString, String\u003e error = new HashMap\u003c\u003e(); error.put(\"message\", \"Invalid username or password\"); return error; }

@PostMapping(\"/logout\") public Map\u003cString, String\u003e logout(HttpSession session) { // 使Session失效 session.invalidate(); Map\u003cString, String\u003e result = new HashMap\u003c\u003e(); result.put(\"message\", \"Logout successful\"); return result; }

@GetMapping(\"/profile\") public Map\u003cString, Object\u003e getProfile(HttpSession session) { // 从Session中获取用户信息 User user = (User) session.getAttribute(\"user\"); if (user != null) { Map\u003cString, Object\u003e profile = new HashMap\u003c\u003e(); profile.put(\"username\", user.getUsername()); profile.put(\"role\", user.getRole()); profile.put(\"authenticated\", true); profile.put(\"sessionId\", session.getId()); return profile; } Map\u003cString, Object\u003e error = new HashMap\u003c\u003e(); error.put(\"message\", \"Not authenticated\"); error.put(\"authenticated\", false); return error; }}```

#### 前端实现**api.js**

```j*ascriptexport const sessionAuthApi = { // 登录 login: async (username, password) =\u003e { return await api.post('/session-auth/login', { username, password }, { withCredentials: true }); }, // 登出 logout: async () =\u003e { return await api.post('/session-auth/logout', {}, { withCredentials: true }); }, // 获取用户信息 getProfile: async () =\u003e { return await api.get('/session-auth/profile', { withCredentials: true }); }};```

【 Web认证 】Cookie、Session 与 JWT Token：Web 认证机制的原理、实现与对比

### 2.3 优缺点**优点**：

+ Spring Boot自动管理，使用简单+ 安全性较高，Session数据存储在服务器端+ 可以存储复杂的用户信息

**缺点**：

+ 服务器需要维护Session状态，水平扩展时需要考虑Session共享+ 受同源策略限制+ 可能存在CSRF攻击风险

## 3. JWT Token认证### 3.1 工作原理JWT (JSON Web Token) 是一种基于Token的无状态认证机制：

Voicepods Voicepods

Voicepods是一个在线文本转语音平台，允许用户在30秒内将任何书面文本转换为音频文件。

Voicepods 142 查看详情 Voicepods
【 Web认证 】Cookie、Session 与 JWT Token：Web 认证机制的原理、实现与对比

1. **登录过程**： - 用户提交用户名和密码 - 服务器验证凭据 - 验证成功后，生成JWT Token（包含用户信息、过期时间等） - 服务器将Token返回给客户端2. **请求验证**： - 客户端将Token存储在localStorage或sessionStorage中 - 发起请求时，在Authorization头中携带Token：`Bearer {token}` - 服务器接收到请求后，验证Token的签名和有效性 - 验证通过后，从Token中提取用户信息3. **登出过程**： - 客户端删除存储的Token - 服务器无需特殊处理（无状态）

### 3.2 JWT Token结构JWT由三部分组成，用点（.）连接：

```plainheader.payload.signature```

+ **Header**：包含Token类型和签名算法+ **Payload**：包含声明（claims），如用户ID、角色、过期时间等+ **Signature**：使用密钥对前两部分进行签名，用于验证Token的完整性

### 3.3 代码实现#### 后端实现**JwtUtil.j*a**

```j*apublic class JwtUtil {

// 生成安全的密钥 private static final Key SECRET_KEY = Keys.secretKeyFor(SignatureAlgorithm.HS256); private static final long EXPIRATION_TIME = 3600000; // 1小时，单位毫秒

// 生成Token public static String generateToken(String username, String role) { return Jwts.builder() .setSubject(username) .claim(\"role\", role) .setIssuedAt(new Date()) .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME)) .signWith(SECRET_KEY) .compact(); }

// 验证Token是否有效 public static boolean validateToken(String token) { try { Jwts.parserBuilder() .setSigningKey(SECRET_KEY) .build() .parseClaimsJws(token); return true; } catch (Exception e) { return false; } }

// 其他方法...}```

**JwtAuthController.j*a**

```j*apackage com.example.authdemo.controller;

import com.example.authdemo.model.User;import com.example.authdemo.util.JwtUtil;import org.springframework.web.bind.annotation.*;

import j*a.util.HashMap;import j*a.util.Map;

@RestController@RequestMapping(\"/api/jwt-auth\")@CrossOrigin(origins = \"http://localhost:5174\")public class JwtAuthController {

// 模拟用户数据库 private static final Map\u003cString, User\u003e users = new HashMap\u003c\u003e();

static { // 预创建测试用户 users.put(\"admin\", new User(\"admin\", \"password\", \"ADMIN\")); users.put(\"user\", new User(\"user\", \"password\", \"USER\")); }

@PostMapping(\"/login\") public Map\u003cString, String\u003e login(@RequestBody User user) { // 验证用户 User storedUser = users.get(user.getUsername()); if (storedUser != null \u0026\u0026 storedUser.getPassword().equals(user.getPassword())) { // 生成JWT Token String token = JwtUtil.generateToken(user.getUsername(), user.getRole()); Map\u003cString, String\u003e result = new HashMap\u003c\u003e(); result.put(\"message\", \"Login successful\"); result.put(\"username\", user.getUsername()); result.put(\"token\", token); return result; } Map\u003cString, String\u003e error = new HashMap\u003c\u003e(); error.put(\"message\", \"Invalid username or password\"); return error; }

@GetMapping(\"/profile\") public Map\u003cString, Object\u003e getProfile(@RequestHeader(\"Authorization\") String authorizationHeader) { // 检查Authorization头 if (authorizationHeader == null || !authorizationHeader.startsWith(\"Bearer \")) { Map\u003cString, Object\u003e error = new HashMap\u003c\u003e(); error.put(\"message\", \"Authorization header is required\"); error.put(\"authenticated\", false); return error; } // 提取token String token = authorizationHeader.substring(7); // 验证token if (JwtUtil.validateToken(token)) { String username = JwtUtil.getUsernameFromToken(token); String role = JwtUtil.getRoleFromToken(token); Map\u003cString, Object\u003e profile = new HashMap\u003c\u003e(); profile.put(\"username\", username); profile.put(\"role\", role); profile.put(\"authenticated\", true); return profile; } Map\u003cString, Object\u003e error = new HashMap\u003c\u003e(); error.put(\"message\", \"Invalid token\"); error.put(\"authenticated\", false); return error; }

@GetMapping(\"/validate\") public Map\u003cString, Boolean\u003e validateToken(@RequestHeader(\"Authorization\") String authorizationHeader) { Map\u003cString, Boolean\u003e result = new HashMap\u003c\u003e(); if (authorizationHeader == null || !authorizationHeader.startsWith(\"Bearer \")) { result.put(\"valid\", false); return result; } String token = authorizationHeader.substring(7); result.put(\"valid\", JwtUtil.validateToken(token)); return result; }}```

#### 前端实现**api.js**

```j*ascriptexport const jwtAuthApi = { // 登录 login: async (username, password) =\u003e { return await api.post('/jwt-auth/login', { username, password }); }, // 获取用户信息 getProfile: async (token) =\u003e { return await api.get('/jwt-auth/profile', { headers: { 'Authorization': `Bearer ${token}` } }); }, // 验证token validateToken: async (token) =\u003e { return await api.get('/jwt-auth/validate', { headers: { 'Authorization': `Bearer ${token}` } }); }};```

**authStorage.js**

```j*ascript// 认证存储管理export const authStorage = { // 保存JWT token s*eToken: (token) =\u003e { localStorage.setItem('jwt_token', token); }, // 获取JWT token getToken: () =\u003e { return localStorage.getItem('jwt_token'); }, // 移除JWT token removeToken: () =\u003e { localStorage.removeItem('jwt_token'); }, // 其他方法...};```

【 Web认证 】Cookie、Session 与 JWT Token：Web 认证机制的原理、实现与对比

### 3.4 优缺点**优点**：

+ 无状态，服务器不需要存储会话信息，便于水平扩展+ 支持跨域，不依赖Cookie+ 自包含，Token中包含所有必要信息

**缺点**：

+ Token一旦签发，无法直接撤销（除非服务端维护黑名单）+ Token可能较大，增加请求大小+ 需要客户端手动管理Token的存储和发送

## 4. 三种认证方式的比较| 特性 | Cookie认证 | Session认证 | JWT Token认证 || --- | --- | --- | --- || 存储位置 | 客户端Cookie | 服务器Session + 客户端Cookie | 客户端localStorage/SessionStorage || 状态管理 | 有状态 | 有状态 | 无状态 || 跨域支持 | 不支持 | 不支持 | 支持 || 水平扩展 | 困难 | 需要Session共享 | 简单 || 安全性 | 中等 | 高 | 高 || 实现复杂度 | 简单 | 简单（Spring Boot自动支持） | 中等 || 适合场景 | 简单的Web应用 | 传统Web应用 | 前后端分离、微服务、移动应用 |

## 5. 安全最佳实践### 5.1 Cookie安全+ 设置HttpOnly标志，防止XSS攻击获取Cookie+ 设置Secure标志，确保只通过HTTPS传输+ 设置SameSite属性，防止CSRF攻击+ 使用较短的过期时间

### 5.2 Session安全+ 使用强随机数生成Session ID+ 限制Session的生命周期+ 登出时立即销毁Session+ 考虑使用Redis等进行Session共享

### 5.3 JWT安全+ 使用强密钥并定期轮换+ 设置合理的过期时间+ 敏感信息不放入Payload（因为Payload可以被解码）+ 使用HTTPS传输Token+ 实现Token刷新机制

## 6. 运行项目### 6.1 后端运行

cd auth-demo/backendmvn spring-boot:run

### 6.2 前端运行

cd auth-demo/frontendnpm installnpm run dev

### 6.3 测试账号+ 用户名: admin, 密码: password (管理员权限)+ 用户名: user, 密码: password (普通用户权限)

## 7. 总结三种认证方式各有优缺点，选择哪种方式应该根据具体的应用场景：

+ **Cookie认证**：适合简单的Web应用，实现简单但扩展性有限+ **Session认证**：适合传统的Web应用，Spring Boot原生支持，安全性较高+ **JWT Token认证**：适合前后端分离、微服务架构和移动应用，无状态设计便于扩展

在实际项目中，还可以根据需要结合使用这些认证方式，例如使用JWT进行API认证，同时使用Session管理一些临时状态。

以上就是【 Web认证 】Cookie、Session 与 JWT Token：Web 认证机制的原理、实现与对比的详细内容，更多请关注其它相关文章！


# 是一种  # 西藏关键词排名哪家好  # 常州网站建设美丽图片  # seo批量组合文章  # 城前镇seo网站排名  # 淘宝改关键词影响排名  # 深圳网站做软文推广  # 河北百度seo优化公司  # 上海常规网站建设  # seo伴侣 破解版  # 广州营销推广策划公司  # 是一个  # 客户端下载  # 移除  # 不支持  # 较高  # web认证  # 三种  # 工作原理  # 后端  # 客户端  # cook  # vue3  # go  # json  # 前端  # js  # redis  # java  # word  # javascript  # vue 


相关栏目： 【 科技资讯46185 】 【 网络学院92790 】


相关推荐： 将HTML动态表格多行数据保存到Google Sheet的教程  composer的"require-dev"部分是用来做什么的？  Golang如何实现Web文件静态资源服务器_Golang静态资源服务器开发与实践  俄罗斯搜索引擎Yandex指南 附2025年免登录官网入口  PyTorch模型训练准确率不提升：诊断与修复常见指标计算错误  c++如何实现一个简单的ECS框架_c++数据驱动设计与游戏开发  Yandex搜索引擎官方地址 俄罗斯网络世界的主要入口  解决 Vaadin 8 中大文件音频播放与定位时出现的 IOException  邮政快递单号查询入口 邮政快递物流信息在线查询入口  J*a应用集成GitHub CLI与API认证指南  Lar*el头像管理：图片缩放与旧文件删除的最佳实践  《刺客信条：影》PS5 Pro和Switch 2画面对比  解决Python logging 中 datefmt 导致时间戳固定不变的问题  AO3镜像入口大全 AO3网页版内容访问全集  2026年CSGO开箱网站推荐 CSGO开箱平台精选  如何使用Node.js csv 包按条件移除含空字段的CSV记录  Win11蓝牙耳机断连怎么解决 Win11蓝牙设置重新配对与驱动更新【技巧】  如何创建没有密码的Windows本地账户_跳过微软账户登录的技巧【教程】  J*aScript 字符串标签转换：使用正则表达式高效替换  押井守高度称赞《辐射4》：玩了八年都停不下来！  台积电1.4nm工艺A14瞄准2028：10年来性能提升80%  Composer的 "check-platform-reqs" 命令有什么用_在部署前检查生产环境是否满足Composer依赖需求  AWS EC2实例间SQL Server连接超时：安全组配置与故障排除指南  优化 Python 函数中的条件逻辑：解决 if-else 嵌套与参数选择问题  Linux如何构建多环境配置管理_Linux多环境配置方案  QQ邮箱登录平台入口 QQ邮箱网页版邮箱官方入口  Django AJAX 文件上传教程：解决图片无法保存到模型的常见问题  漫蛙漫画官方主页入口 漫蛙MANWA网页直达访问链接  如何使用CaptainHook和Composer管理Git钩子_在提交前自动运行代码检查的Composer配置  sublime怎么设置启动时打开的窗口_sublime会话管理与热退出  mc.js官网登录入口 mc.js官方登录入口最新版  QQ邮箱网页版入口登录 QQ邮箱在线邮箱官方通道  如何创建独立于主系统的J*a运行环境_隔离式环境搭建策略  Win10怎么制作U盘启动盘 Win10系统安装U盘制作教程【详解】  解决 MongoDB 聚合查询中对象数组 _id 匹配问题  Log4j Console Appender性能瓶颈与高并发优化策略  Excel函数批量查找替换超快方法_Excel用REPLACE和FIND函数秒级替换  C++ map遍历方法大全_C++ map迭代器使用总结  纯CSS与HTML网格布局的HTML精简策略：SVG与JS方案解析  Yandex官网免登录入口_俄罗斯Yandex搜索引擎一键访问  夸克AO3官网入口_AO3镜像网站2025推荐  初次安装JDK时环境变量如何正确配置_J*A_HOME与PATH设置规则讲解  2026年发布！ 美少女养成动作RPG《神剑少女战记》发布实机演示  qq游戏大厅官方下载_qq游戏免费下载安装入口  今日头条怎么同步内容到抖音_今日头条内容同步到抖音教程  如何在网页中实现特定地点的随机图片展示  凉拌黄瓜怎么拌更入味 凉拌黄瓜简单家常做法  反效果？《战地6》免费试玩开启后玩家数不升反降  抖音网页版企业服务中心登录入口_抖音网页版企业登录平台  中兴BladeV30怎样用测距估书架层高_iPhone中兴BladeV30测距估书架层高【家装参考】 

上一篇：模拟山羊3胡闹多元宇宙蜥蜴狗装备解锁教学 模拟山羊3胡闹多元宇宙蜥蜴狗装备怎么解锁
下一篇：豆包AI怎样用速读模式筛长文要点_豆包AI用速读模式筛长文要点【速读提炼】

搜索