Session和JWT的区别是什么以及与Cookie相比详解

更新时间：2026年04月02日 09:30:58 作者：quxuexi

Web应用需客户端存储用户信息,Cookie是早期方案,有特点及验证方式,下面这篇文章主要介绍了Session和JWT的区别是什么以及与Cookie相比的相关资料,文中通过代码就介绍的非常详细,需要的朋友可以参考下

1. 引言：两张“入场券”的不同命运

想象你去参加一场大型音乐节。入口处有两种入场方式：一种是工作人员给你一张编号卡片（Session ID），然后在后台系统里记录你的姓名、年龄、VIP等级（Session 数据）。你每次进出，工作人员只需要核对卡片编号，系统里调出你的信息。另一种方式是发给你一张加密手环（JWT），手环里直接写入了你的姓名、VIP等级和有效期，工作人员扫描手环就能验证身份，后台不需要记录任何信息。

第一种方式就像传统的 Session，有状态、可控制、但需要后台系统“记住”每个人；第二种方式就像 JWT，无状态、轻量、但一旦发出就难以收回。本文将从最基础的概念讲起，深入对比 Session 和 JWT 的机制、优缺点，帮你做出正确的技术选型。

2. 前置知识：为什么需要状态管理？

HTTP 协议是无状态的——服务器不会记住两次请求之间的关系。为了让服务器能认出“你是谁”，我们需要一种机制来维持状态。Session 和 JWT 是两种主流解决方案，但它们的实现哲学截然不同。

3. 核心定义

概念	定义	状态性
Session	服务端为每个用户创建的会话对象，数据存储在服务器端（内存/Redis/数据库），通过唯一的 Session ID（通常存于 Cookie）关联客户端。	有状态（服务端存储）
JWT	一种紧凑的、自包含的 JSON 对象，通过数字签名保证完整性，用于在客户端和服务器间安全传递声明（如用户身份信息），无需服务器存储状态。	无状态（客户端存储）

Cookie 的角色：Cookie 是载体，而非会话机制本身。Session 将 Session ID 存于 Cookie，JWT 也可以存于 Cookie（或 localStorage）。

4. 工作机制详解

4.1 Session 工作流程

4.2 JWT 工作流程

5. 核心对比表

维度	Session	JWT
状态性	服务端有状态，需集中存储（如 Redis）	服务端无状态，Token 自包含
存储位置	Session ID 在 Cookie；数据在服务端	Token 存于客户端（Cookie / localStorage）
服务器资源	占用服务器内存/Redis（用户越多资源消耗越大）	无存储开销，仅验证签名
安全性	Session ID 可设置 `HttpOnly` 防 XSS；需防 CSRF	若存 localStorage 易被 XSS 窃取；签名防篡改但内容可解码
实时吊销	✅ 支持（`session.invalidate()`）	❌ 困难，需维护黑名单（增加状态）
分布式扩展	需共享存储（如 Redis 集群）	✅ 天然支持，无需共享存储
跨域支持	依赖 Cookie，需配置 CORS 和 `withCredentials`	✅ 通过请求头携带，不受同源策略限制
过期控制	基于最后访问时间的空闲超时（如 30 分钟无操作）	签发时固定过期时间（`exp` 声明），无法自动延长
数据大小	Session ID 小（通常几十字节）	JWT 大小随 payload 增长（通常几百字节到几KB）
典型载体	Cookie（`HttpOnly`）	Cookie / localStorage / 请求头

6. 原理分析：为什么 JWT 是无状态的？

Session 的本质是服务端存储数据，客户端只知道一个“钥匙”（Session ID）。这意味着服务端必须维护一个“钥匙 ↔ 数据”的映射表，因此是有状态的。

JWT 的本质是把用户信息直接写入令牌，通过数字签名保证令牌未被篡改。服务器收到 JWT 后，只需验证签名（无需查询数据库），就能信任其中的内容，因此是无状态的。

JWT 结构（三部分）：
header.payload.signature
示例：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VySWQiOjEyMywiZXhwIjoxNzQzMTU4ODAwfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

签名原理：signature = HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)。服务器使用同样的密钥验证签名，确保令牌未被篡改。

7. 安全风险与防护措施

机制	主要风险	防护措施
Session	XSS 窃取 Session ID；CSRF 利用自动携带	`HttpOnly`（防 XSS）、`SameSite=Strict/Lax`（防 CSRF）、`Secure`（仅 HTTPS）、Session ID 定期刷新
JWT	XSS 窃取（若存 localStorage）；签名密钥泄露；无法主动吊销	存 `HttpOnly` Cookie（防 XSS）、短过期时间（如 15 分钟）+ Refresh Token、强密钥、敏感信息不入 payload

8. 适用场景与选型建议

场景	推荐方案	理由
传统单体 Web 应用	Session + Cookie	实现简单，支持实时吊销，用户状态易管理
前后端分离（SPA）	JWT + HttpOnly Cookie	无状态，跨域友好，兼顾安全
微服务架构	JWT	无需共享 Session 存储，服务间调用便利
移动端 / 原生 App	JWT	不依赖 Cookie，通过请求头传递
第三方开放 API	JWT / OAuth2	无状态，适合给第三方应用签发令牌
需要强制踢人 / 实时注销	Session	服务端可直接删除 Session
高并发、需水平扩展	JWT + Redis 黑名单（可选）	无状态扩展容易，黑名单解决吊销问题

9. 常见误区

误区	正解
“JWT 比 Session 更安全”	❌ 安全性取决于实现。Session 有 `HttpOnly` 护身，JWT 若存 localStorage 反而不安全。
“Session 必须用 Cookie”	❌ Session ID 可通过 URL 重写传递，但体验与安全性差，极少使用。
“JWT 可以无限期有效”	❌ 必须设置短期过期时间，配合 Refresh Token 机制。
“JWT 的 payload 可以存密码”	❌ payload 是 Base64 编码，可解码，绝对不能存敏感信息。
“用了 JWT 就完全无状态”	❌ 若要实现吊销，仍需引入黑名单等有状态机制。

10. 总结：一张图看懂选型

维度	Session	JWT
控制力	⭐⭐⭐⭐⭐ 强（可实时吊销、审计）	⭐⭐ 弱（难以吊销）
扩展性	⭐⭐ 需共享存储	⭐⭐⭐⭐⭐ 天然无状态
跨域友好	⭐⭐ 依赖 Cookie 配置	⭐⭐⭐⭐⭐ 请求头传递
实现复杂度	⭐⭐ 简单（框架内置）	⭐⭐⭐ 需管理过期、刷新

最终建议：

✅ 内部管理后台、传统单体应用 → Session
✅ 前后端分离、微服务、移动端 API → JWT + 短期过期 + Refresh Token
✅ 高安全场景 → Session + Redis（有状态）+ HttpOnly Cookie
✅ 追求极简扩展 → JWT（无状态）

没有绝对“更好”的技术，只有“更合适”的选择。理解 Session 和 JWT 的本质差异，才能在架构设计时做出正确决策。

到此这篇关于Session和JWT的区别是什么以及与Cookie相比详解的文章就介绍到这了,更多相关Session、JWT与Cookie相比内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家！

您可能感兴趣的文章:

详解Java注解的实现与使用方法
这篇文章主要介绍了详解Java注解的实现与使用方法的相关资料,希望通过本文大家能够理解掌握Java注解的知识，需要的朋友可以参考下
2017-09-09
Java Http请求传json数据乱码问题的解决
这篇文章主要介绍了Java Http请求传json数据乱码问题的解决，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
2019-09-09
Springboot中的异步任务执行及监控详解
这篇文章主要介绍了Springboot中的异步任务执行及监控详解,除了自己实现线程外,springboot本身就提供了通过注解的方式,进行异步任务的执行,下面主要记录一下,在Springboot项目中实现异步任务,以及对异步任务进行封装监控,需要的朋友可以参考下
2023-10-10
SpringBoot中日志输出规范的五种策略
在企业级应用开发中,合理规范的日志记录是系统稳定运行、问题排查和性能优化的关键保障,SpringBoot作为流行的Java开发框架,提供了强大而灵活的日志支持,但如何建立统一、高效的日志输出规范却是许多团队面临的挑战,本文将介绍SpringBoot中5种日志输出规范策略
2025-06-06
Java中自动装箱、拆箱引起的耗时详解
这篇文章主要给大家介绍了关于Java中自动装箱、拆箱引起的耗时的相关资料，文中通过示例代码介绍的非常详细，对大家学习或者使用Java具有一定的参考学习价值，需要的朋友们下面来一起学习学习吧
2019-04-04
Java实现简单的分页功能
这篇文章主要为大家详细介绍了Java实现简单的分页功能，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
2017-08-08
Java手动实现Redis的LRU缓存机制
在Java中LRU的实现方式是使用HashMap结合双向链表，HashMap的值是双向链表的节点，双向链表的节点也保存一份key value。
2021-05-05
mybatis和mybatis-plus同时使用的坑
本文主要介绍了mybatis和mybatis-plus同时使用的坑，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
2023-05-05
mybatisPlus条件构造器常用方法小结
这篇文章主要介绍了mybatisPlus条件构造器常用方法,首先是.select和其他条件，本文结合示例代码给大家介绍的非常详细,需要的朋友可以参考下
2022-10-10
JDBC如何通过SSL方式连接MySQL
文章介绍了如何配置MySQL以支持SSL连接,并通过JDBC进行安全连接,主要内容包括查看MySQL SSL支持、创建SSL连接用户、配置用户是否强制使用SSL、JDBC配置导入证书以及使用Go编写一个简单的HTTP文件服务器来提供SSL证书
2025-02-02