JWT（JSON Web Token）相比传统的 Session/Token 方案有以下核心优势：

1. 无状态 & 可扩展性

• 服务端无需存储会话信息，Token 自包含用户身份和权限

• 天然适合分布式系统和微服务架构，任意服务节点都能独立验证

2. 跨域友好

• 基于 HTTP Header 传输，不受 Cookie 跨域限制

• 特别适合前后端分离、移动端、第三方 API 集成等场景

3. 安全性设计

• 支持签名（HMAC/RSA/ECDSA）防止篡改

• 可设置过期时间（exp），支持 Token 刷新机制

4. 自包含（Self-contained）

• Payload 中可携带用户角色、权限等声明信息，减少数据库查询次数

5. 标准化 & 生态成熟

• 遵循 RFC 7519 标准，各语言均有成熟库支持

适用场景

表格

注意事项

JWT 也有其局限性，例如无法主动失效（需配合黑名单或短过期时间+刷新机制）、Payload 默认不加密（敏感信息需额外加密或避免放入），以及 Token 体积相对 Cookie 较大。合理设计下，它仍是现代分布式系统中非常高效的鉴权方案。