Spring Security中JWT认证对比表单登录的优势是什么？

先纠正个常见误解：Spring Security 里默认的 formLogin 可不是每次请求都要输用户名密码的。用户登录成功后，服务器会生成会话 ID 塞到 Cookie 里返回给客户端，之后客户端发请求会自动带这个 Cookie，服务器靠会话 ID 认人，不用重复提交账号密码。

接下来聊聊 JWT 对比这种会话式表单登录的核心优势：

• 无状态，好扩展：JWT 本身就存了用户身份、权限这些关键信息，服务器不用额外存会话数据。集群部署的时候，不用再搞 Redis 同步会话那一套，随便加机器就行，架构复杂度直接降下来。
• 跨域、多端通吃：JWT 一般放在请求头（比如 Authorization: Bearer <token>）里，不像 Cookie 受同源策略限制。不管是前端跨域调 API，还是移动端、小程序这些非浏览器场景，用起来都比 Cookie 顺手得多。
• 权限拿得快：JWT 的 Payload 可以自定义塞用户角色、权限甚至业务相关的小数据，服务器验令牌的时候直接就能拿到这些信息，不用再查数据库，接口响应速度能提不少。
• 令牌灵活度高：可以搞短期的访问令牌（Access Token）加长期的刷新令牌（Refresh Token）组合，既保证令牌过期快、泄露风险低，又不用频繁让用户重新登录。而会话式登录的有效期大多是全局配置，没法针对不同场景灵活调整。
• 第三方集成方便：在 OAuth2.0 单点登录（SSO）这类场景里，JWT 是通用的令牌格式，不同系统之间传身份信息特别方便，实现一次登录多系统能用的需求成本很低。

要是真碰到那种每次请求都要提交用户名密码的无会话表单登录，那 JWT 的优势更突出——避免了敏感密码在网络里反复传，就算令牌泄露，还能靠过期时间控制影响范围，比密码泄露的危害小多了。

内容的提问来源于stack exchange，提问作者Luk