使用JWT认证的Web API为何仍符合REST无状态特性要求？

首先得明确REST里的「无状态」到底指什么：服务器不存储任何与客户端会话相关的状态数据，每个HTTP请求必须包含服务器处理该请求所需的全部信息，服务器不需要依赖之前的请求上下文就能独立处理当前请求。

JWT的工作方式刚好契合这个要求：

• JWT是将用户身份、权限等必要信息加密后生成的自包含令牌，客户端会在每次请求时（通常放在Authorization: Bearer <token>请求头里）携带这个令牌
• 服务器收到请求后，只需要验证令牌的签名有效性、过期时间等，就能直接解析出用户的身份信息，全程不需要在服务器端保存任何会话相关的数据（比如不像Session机制那样，要把会话状态存在服务器内存或数据库里）

对比传统的Session认证就能看清楚差异：Session是服务器端存储会话状态，客户端只带一个SessionID，服务器需要通过这个ID去查询对应的会话数据才能识别用户——这就违反了REST的无状态要求，因为服务器依赖了之前存储的会话状态。而JWT的方式里，服务器完全不保留客户端的状态，所有必要信息都在请求里，每个请求都是独立可处理的，完全符合REST无状态的核心定义。

所以哪怕用JWT实现了用户身份跟踪，只要服务器不存储会话状态，这类API就依然符合REST规范。

内容的提问来源于stack exchange，提问作者Mahesh