cookie-session与JWT令牌的核心区别是什么？

首先直接明确两个核心误区：

1. cookie-session本质上不是JWT，二者属于不同层级的技术概念
2. 存储位置的差异不是二者的核心区别：JWT同样可以存储在Cookie中，cookie-session的会话内容理论上也可以提取后存储在localStorage中，存储介质的选择更多是使用层面的方案选型，不是技术本质差异。

三类技术的核心定义 #

• 传统服务端会话：会话的全部真实数据存储在服务端（Redis、数据库等），客户端Cookie中仅存储无意义的会话ID，服务端收到请求后通过ID查询对应的会话数据完成校验，属于有状态的会话方案。
• cookie-session：属于轻量的无状态客户端会话方案，它会把完整的会话数据序列化后做签名/加密，直接存储在客户端Cookie中，服务端收到请求后直接解密验签即可获取会话数据，不需要查询服务端存储。
• JWT：全称为JSON Web Token，是一种通用的结构化令牌格式标准，仅定义了令牌的编码、签名/加密规则，本身不绑定任何传输方式、存储位置或使用场景。

cookie-session与JWT的核心区别 #

• 定位不同：cookie-session是完整的会话管理解决方案，已经封装好了数据序列化、签名/加密、Cookie读写、过期控制、安全属性配置等全流程能力；JWT只是一种通用的数据格式，你可以用JWT作为cookie-session的底层数据结构，也可以用自定义序列化格式实现cookie-session，甚至可以用JWT做接口鉴权、一次性校验码等和会话完全无关的功能。
• 兼容性不同：JWT有统一的行业标准格式（Header.Payload.Signature三段式结构），可以跨服务、跨技术栈直接解析；cookie-session的默认序列化格式是库自定义的，未做适配的情况下无法跨技术栈直接解析使用。
• 绑定规则不同：cookie-session默认绑定Cookie作为传输和存储介质，自动适配浏览器Cookie的HttpOnly、Secure、SameSite等安全属性；JWT没有任何绑定规则，可以放在请求头、Cookie、请求参数中传输，也可以存储在localStorage、sessionStorage、客户端本地文件等任意位置。

额外补充：cookie-session与传统服务端会话的差异 #

二者核心差异就是会话数据的存储位置：

• cookie-session把会话数据存在客户端Cookie，不需要服务端维护会话存储，更适合无状态服务、轻量会话场景，但受限于Cookie 4KB的大小上限，无法存储大量会话数据。
• 传统服务端会话把数据存在服务端，仅在Cookie中存会话ID，可以存储大量会话数据，但需要维护服务端的会话存储，服务扩缩容时需要处理会话共享问题。

内容的提问来源于stack exchange，提问作者David McNamee