关键词：http 保持登录态

虽然 HTTP 是无状态协议，但可以通过以下几种方式来保持登录状态：

一、Cookie

1. 工作原理：

   • 当用户成功登录后，服务器在响应中设置一个 Cookie，通常包含用户的身份标识、会话信息等。
   • 客户端（浏览器）会存储这个 Cookie，并在后续的请求中自动将其发送给服务器。
   • 服务器通过检查 Cookie 中的信息来识别用户并确定其登录状态。

2. 示例：

   • 用户登录时，服务器生成一个唯一的会话 ID，并将其存储在数据库中，同时在响应中设置一个名为“session_id”的 Cookie，值为该会话 ID。
   • 后续请求中，浏览器自动发送包含“session_id”的 Cookie，服务器根据这个会话 ID 查找对应的用户信息，从而确定用户已登录。

二、Session

1. 结合 Cookie 使用：

   • 服务器端创建一个会话（Session）对象来存储用户的登录状态和其他相关信息。
   • 与 Cookie 类似，服务器在用户登录成功后设置一个包含会话 ID 的 Cookie，客户端在后续请求中携带这个 Cookie。
   • 服务器根据会话 ID 查找对应的 Session 对象，以确定用户的登录状态。

2. 优点：

   • 相比直接使用 Cookie 存储用户信息，Session 更加安全，因为敏感信息存储在服务器端，而不是在客户端的 Cookie 中。

三、Token（令牌）

1. JWT（JSON Web Token）：

   • 用户登录成功后，服务器生成一个包含用户信息和签名的 JWT 令牌，并将其返回给客户端。
   • 客户端在后续请求中，将 JWT 令牌作为请求头或参数发送给服务器。
   • 服务器通过验证令牌的签名和有效性来确定用户的登录状态。

2. 优点：

   • 无状态：服务器不需要存储会话信息，只需要验证令牌的有效性，因此可以轻松地进行水平扩展。
   • 跨域支持：JWT 令牌可以在不同的域之间传递，适用于前后端分离的架构。

四、HTTP 基本认证和摘要认证

1. 基本认证：

   • 客户端在请求中包含用户名和密码，经过 Base64 编码后作为请求头的一部分发送给服务器。
   • 服务器验证用户名和密码的正确性，如果正确则认为用户已登录。
   • 缺点是密码以明文形式传输（虽然经过 Base64 编码，但仍然可以被轻易解码），不安全。

2. 摘要认证：

   • 是对基本认证的改进，通过使用哈希函数对密码进行加密，提高了安全性。
   • 但仍然存在一些安全风险，并且在每次请求中都需要发送用户名和密码的哈希值，不够便捷。