在Web应用中，保持用户状态是一个常见且关键的需求。由于HTTP协议本身是无状态的，服务器无法自动知道两个请求是否来自同一个用户。这里就需要session发挥作用。本文将通过具体的Spring框架代码示例，来深入理解session的使用和重要性以及和token、jwt的比较。
session
什么是Session？
session是在服务器端保持用户状态的一种方式。每当用户访问Web应用时，服务器都会生成一个唯一的session ID，并且为这个session存储相关数据。这样，即使HTTP请求是无状态的，通过session也可以识别并维护用户状态。
Spring框架中Session的使用
在Spring框林中，处理session的一个常见方法是使用HttpSession对象。以下是两个基本用例的示例代码：
保存Session信息
@RequestMapping("saveSessionInfo")
public String saveSessionInfo(HttpSession session,String msg){
if(isEmpty(msg)){
return "msg不能为空";
}
session.setAttribute(SESSION_KEY,msg);
return "保存session信息成功，sessionId:"+session.getId();
}在这个方法中，我们首先检查传入的msg参数是否为空。如果不为空，我们使用session.setAttribute()方法将信息保存在session中。这里的SESSION_KEY是一个常量，用作session中数据的键。最后，方法返回包含session ID的消息，表明信息已成功保存。
获取Session信息
@RequestMapping("getSessionInfo")
public String getSessionInfo(HttpSession session){
return "获取的session信息为:"+session.getAttribute(SESSION_KEY);
}在获取session信息的方法中，我们使用session.getAttribute()方法来检索之前保存的信息。如果该session中存在与SESSION_KEY对应的数据，它将被返回。
session是基于用户会话的。这意味着，当用户关闭浏览器或者从原始设备移动时，会话可能会丢失。由于session ID通常存储在浏览器的cookie中，因此一旦用户离开浏览器或更换设备，之前存储的session信息将无法访问。
于是就可以想到一个办法，既然session ID通常存储在浏览器，那么如果可以将ID单独存在数据库中，就可以实现分布式session，可以跨设备使用，如下图：
Token
令牌（Token）是一种在计算机系统中标识和传输信息的方法。在Web应用中，Token通常用于身份验证和信息传递。它可以是任意字符串，但为了安全性，通常会使用具有高熵（随机性）的字符串，例如通过UUID.randomUUID().toString()生成的字符串。
@RequestMapping("saveByToken")
public String saveByToken(String msg){
if(isEmpty(msg)){
return "msg不能为空";
}
String token = UUID.randomUUID().toString();
redisUtils.set(token,msg);
return "保存token信息成功，token:"+token;
}
@RequestMapping("getByToken")
public String getByToken(String token){
if(isEmpty(token)){
return "token不能为空";
}
return "获取的token信息为:"+redisUtils.get(token);
}在示例代码中，有两个方法saveByToken和getByToken。这两个方法分别用于保存和获取与Token相关联的信息。
saveByToken方法接收一个消息字符串msg，生成一个唯一的Token，并将这个Token与消息存储在Redis中。Redis是一个常用的键值对存储系统，适用于此类场景。getByToken方法则接收一个Token，并从Redis中检索与该Token关联的信息。
这种方法的优点是简单高效，能够快速存取数据。但缺点是用户需要手动管理Token。
@RequestMapping("saveByTokenWithCookie")
public String saveByTokenWithCookie(HttpServletResponse response,String msg){
if(isEmpty(msg)){
return "msg不能为空";
}
String token = UUID.randomUUID().toString();
redisUtils.set(token,msg);
Cookie cookie = new Cookie("token",token);
//cookie.setMaxAge(10);
response.addCookie(cookie);
return "保存token信息成功，token:"+token;
}
@RequestMapping("getByTokenWithCookie")
public String getByTokenWithCookie(HttpServletRequest request){
Cookie[] cookies = request.getCookies();
if(cookies==null){
return "获取的token信息为:null";
}
String token = null;
for (Cookie cookie:cookies){
if("token".equals(cookie.getName())){
token = cookie.getValue();
break;
}
}
if(isEmpty(token)){
return "token不能为空";
}
return "获取的token信息为:"+redisUtils.get(token);
}为了提高用户体验，可以结合Cookie自动管理Token。在saveByTokenWithCookie和getByTokenWithCookie方法中，我们使用了Cookie来存储和检索Token。
saveByTokenWithCookie在保存信息的同时，将生成的Token存储在用户的浏览器Cookie中。这样，用户在后续的请求中无需手动提供Token。getByTokenWithCookie方法检查请求中的Cookie，自动提取Token，并从Redis中获取相关信息。
在实际的开发过程中，我们需要配置一个全局拦截器，以便定期更新存储在Redis中的Token的有效期。这样做可以模拟Session的行为，确保Token不会因超时而失效。
JWT
JWT（JSON Web Token）是一种用于在双方之间传递安全信息的紧凑且自包含的方式。它的特点是无状态性：一旦某方获取了密钥（key），它就可以进行验证。JWT的访问权限只能通过停止服务器来暂停，这与基于会话（session）的认证方式不同。在基于会话的系统中，如果出现不正常操作，可以通过重启服务器使会话失效，从而提高安全性。
private static final String SECRET = "test123456";
/**
* 签名生成
*
* @return
*/
public String createToken(String key, T data, Integer expireSeconds) {
String token = null;
try {
Date expiresAt = new Date(System.currentTimeMillis() + expireSeconds * 1000);
token = JWT.create()
.withClaim(key, JsonUtils.convertObj2Json(data))
.withExpiresAt(expiresAt)
.sign(Algorithm.HMAC256(SECRET));
} catch (Exception e) {
e.printStackTrace();
}
return token;
}
/**
* 签名验证
*
* @param token
* @return
*/
public <T> T getTokenData(String key, String token, Class<T> classz) {
try {
if (null == token || "".equals(token)) {
return null;
}
JWTVerifier verifier = JWT.require(Algorithm.HMAC256(SECRET)).build();
DecodedJWT jwt = verifier.verify(token);
String jsonData = jwt.getClaim(key).asString();
return JsonUtils.convertJson2Obj(jsonData, classz);
} catch (Exception e) {
return null;
}
}上面的代码中会生成一串字符如下：
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJqd3Rfa2V5IjoiXCIxMTRcIiIsImV4cCI6MTcwNzgwMzAyOH0.8OJ8bDk_OCSr6cVOK2r_DWyTLItmHSrxFfaizuQpN58
其中这一段字符eyJqd3Rfa2V5IjoiXCIxMTRcIiIsImV4cCI6MTcwNzgwMzAyOH0就是存储的主要的信息，在在线的base64解码网站上是可以破解其中的信息的，也是不安全的一种方式。所以在开发的场景中一般很少使用。
总结
开发中使用最多的是session，在一些移动端的开发中不支持session就会使用token。很少会使用jwt技术。
