jwt 與 Session：動態權限變更場景下的最佳實踐
許多開發者在選擇 JWT 和 Session 時感到困惑，尤其是在需要動態權限變更（例如強制下線用戶）的場景下。本文將深入探討 JWT 是否適合此類場景，并對比 JWT 和 Session 的優缺點。
核心問題在于：JWT 將用戶信息存儲在客戶端，服務端依賴 JWT 中的信息。如果需要動態更新用戶權限（例如“踢人”操作），JWT 是否仍然有效？
答案是：JWT 在動態權限變更場景下并非最佳選擇。雖然 JWT 允許服務端直接從請求中獲取用戶信息，無需額外數據庫查詢，但這在需要實時權限驗證時失效。服務端仍然需要查詢數據庫確認用戶狀態，以判斷用戶是否已被強制下線，JWT 中的信息并不能實時反映用戶的最新狀態。此時，使用更小的 Token 進行數據庫查詢反而更有效率。
因此，JWT 更適合服務間通信。例如，網關服務獲取用戶信息后生成 JWT 并添加到請求中，后續服務無需再次訪問用戶服務，提高了效率，也避免了處理動態權限變更的復雜性。每次請求使用新的 JWT，無需考慮用戶狀態變化。
Session 的工作機制是：客戶端請求攜帶一個 key（例如 Session ID），服務端使用該 key 查找對應的 Session 數據（類似 map 數據結構）。傳統的 Cookie 用于存儲 Session ID，在非瀏覽器環境（例如 App），token 也可充當 Session ID。JWT 可以視為將“查找 Session”轉變為“解析 Session”，區別在于 JWT 自帶用戶信息，而 Session ID 僅作為查找服務器端用戶信息的鍵。
綜上所述，在需要動態權限變更的場景下，Session 方案更勝一籌，因為它允許服務端實時更新用戶狀態。而 JWT 更適合服務間通信，以及無需實時權限更新的場景。選擇哪種方案取決于具體的應用場景和需求。
