Pengesahan berasaskan sesi adalah lebih baik untuk aplikasi web yang diberikan pelayan, manakala JWT sesuai dengan API dan SPA. Sesi menyimpan data pelayan data, mudah digunakan dalam PHP, dan membenarkan pembatalan segera, tetapi memerlukan storan bersama apabila berskala. JWTs adalah tanpa statistik, berskala, dan berfungsi dengan baik di seluruh domain, tetapi kekurangan pembatalan terbina dalam dan memerlukan pengendalian yang teliti untuk mencegah risiko keselamatan. Pilih sesi untuk aplikasi tradisional dengan sokongan terbina dalam PHP atau JWT untuk sistem yang diedarkan, API, atau backend mudah alih.

Ketika datang untuk mengendalikan pengesahan pengguna dalam aplikasi PHP, dua pendekatan yang biasa digunakan ialah JWT (Token Web JSON) dan pengesahan berasaskan sesi. Walaupun kedua -duanya bertujuan untuk mengesahkan siapa pengguna, mereka bekerja secara berbeza di bawah tudung dan mempunyai kebaikan dan keburukan yang berbeza bergantung pada kes penggunaan anda.

Berikut adalah pecahan bagaimana mereka berbeza dan apabila anda mungkin memilih satu di atas yang lain.

Bagaimana Pengesahan Berasaskan Sesi Berfungsi

Dalam persediaan berasaskan sesi tradisional, apabila pengguna log masuk, pelayan membuat sesi-biasanya sekeping data kecil yang disimpan di pelayan-dan menghantar ID sesi kembali kepada klien, selalunya sebagai cookie.

• ID Sesi adalah unik kepada pengguna itu dan digunakan untuk mencari data sesi mereka pada permintaan berikutnya.
• Ini bermakna pelayan perlu menjejaki semua sesi aktif, biasanya dalam fail atau pangkalan data.
• Oleh kerana kuki terlibat secara lalai, kaedah ini berfungsi dengan baik untuk aplikasi berasaskan pelayar dan mudah dilaksanakan di PHP dengan fungsi terbina dalam seperti session_start() .

Satu perkara yang perlu diperhatikan: Kerana sesi disimpan di sisi pelayan, skala boleh menjadi masalah jika anda menjalankan beberapa pelayan atau menggunakan pengimbang beban. Anda memerlukan storan bersama seperti Redis atau pangkalan data untuk menguruskan sesi merentasi keadaan.

Seperti apa pengesahan JWT

JWT, atau JSON Web Token, adalah mekanisme pengesahan tanpa stat. Daripada menyimpan data sesi pada pelayan, pelayan menandatangani token yang mengandungi maklumat pengguna dan menghantarnya kembali kepada klien.

• Token itu kemudian dihantar dengan setiap permintaan, biasanya dalam tajuk kebenaran.
• Pelayan tidak menyimpan apa -apa secara tempatan - ia hanya mengesahkan tandatangan dan membaca data dari token.
• Token boleh ditandatangani menggunakan algoritma seperti HMAC atau RSA, menjadikannya bukti-bukti.

Ini menjadikan JWT hebat untuk API dan aplikasi mudah alih di mana menjaga keadaan tidak praktikal. Ia juga skala yang lebih baik kerana tidak perlu berkongsi data sesi antara pelayan.

Tetapi ia datang dengan trade-off-sebagai contoh, membatalkan token sebelum tamat tempoh adalah rumit melainkan anda membina logik tambahan seperti senarai hitam.

Perbezaan utama antara JWT dan Sesi

Terdapat beberapa perbezaan utama yang mempengaruhi bagaimana setiap kaedah melakukan dan sesuai dengan pelbagai jenis aplikasi:

• Stateful vs Stateless :
  Sesi adalah stateful (pelayan terus berjalan), manakala JWTS tidak beraksi (tiada penyimpanan sisi pelayan diperlukan).

• Skala :
  Skala JWTS lebih mudah di seluruh sistem yang diedarkan. Sesi memerlukan storan bersama apabila digunakan dalam persediaan multi-server.

• Pertimbangan Keselamatan :
  Sesi biasanya lebih selamat daripada kecurian token jika ditangani dengan betul (contohnya, kuki selamat dengan bendera httponly). JWTS mesti dilindungi dengan betul terhadap serangan pemintasan dan ulangan.

• Saiz muatan dan overhead :
  JWT membawa lebih banyak data setiap permintaan (dalam tajuk), yang boleh menambah overhead. Sesi hanya menghantar ID sesi kecil.

• Pembatalan dan tamat tempoh :
  Sesi boleh dimusnahkan dengan serta -merta. Token JWT lebih sukar untuk dibatalkan sebelum tamat tempoh tanpa infrastruktur tambahan.

Mana yang harus anda gunakan dalam php?

Jika anda membina aplikasi web standard dengan borang log masuk dan halaman yang diberikan di sisi pelayan, pengesahan berasaskan sesi adalah mudah dan disokong dengan baik dalam PHP keluar dari kotak.

Untuk API, SPA (aplikasi halaman tunggal), atau seni bina microservices, JWT mungkin lebih baik kerana sifatnya yang tidak berkesudahan dan fleksibiliti silang domain.

Juga pertimbangkan kebiasaan pasukan anda dan perkakas sedia ada. Jika anda sudah menggunakan sesuatu seperti Laravel, ia mempunyai sokongan yang kukuh untuk kedua -dua melalui Pasport/Sanctum (untuk JWT/OAuth) dan pemandu sesi.

Singkatnya, pengesahan berasaskan sesi JWT atau sesi adalah lebih baik secara universal-ia bergantung kepada apa yang diperlukan oleh aplikasi anda. Kedua-duanya boleh dilaksanakan dengan selamat dan cekap dalam PHP, tetapi mereka menyelesaikan masalah yang berbeza dan datang dengan pelbagai perdagangan.

Atas ialah kandungan terperinci Apakah perbezaan antara JWT dan pengesahan berasaskan sesi dalam PHP?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!