常用认证机制有哪些 ＂常见的身份验证方式有哪些？＂(2)

常用认证机制有哪些

• 快速开发，代码量小，维护工作少。
• 如果API要被不同的App使用，并且每个App使用的方式也不一样，使用OAuth2是个不错的选择。

缺点：

OAuth2是一个安全框架，描述了在各种不同场景下，多个应用之间的授权问题。有海量的资料需要学习，要完全理解需要花费大量时间。OAuth2不是一个严格的标准协议，因此在实施过程中更容易出错。

4. Token Auth

基于token的认证鉴权机制类似于http协议，也是无状态的。

这种方式不需要在服务端去保留用户的认证信息或者会话信息。这就意味着基于token认证机制的应用不需要去考虑用户在哪一台服务器登录了，这就为应用的扩展提供了便利

token必须要在每次请求时传递给服务端，它应该保存在请求头中

Token Auth 流程如下图：

优点：

• 支持跨域访问
• Token机制在服务端不需要存储session信息：Token 自身包含了所有登录用户的信息，只需要在客户端的cookie或本地介质存储状态信息
• 去耦,不需要绑定到一个特定的身份验证方案。Token可以在任何地方生成，只要在你的API被调用的时候，你可以进行Token生成调用即可
• 更适用于移动应用：Cookie是不被客户端（iOS, Android，Windows 8等）支持的。
• 基于标准化：API可以采用标准化的 JSON Web Token (JWT)。这个标准已经存在多个后端库（.NET, Ruby, Java,Python, PHP）和多家公司的支持（如：Firebase,Google, Microsoft）

缺点：

• 占带宽，正常情况下要比 session_id 更大，需要消耗更多流量，挤占更多带宽，假如你的网站每月有 10 万次的浏览器，就意味着要多开销几十兆的流量。听起来并不多，但日积月累也是不小一笔开销。实际上，许多人会在 JWT 中存储的信息会更多
• 无法在服务端注销，因为服务端是无状态的，并没有保存客户端用户登录信息
• 对于有着严格性能要求的 Web 应用并不理想，尤其对于单线程环境

5. JWT

5.1. JWT介绍

JWT全称为JSON Web Token，是目前最流行的跨域身份验证解决方案。JWT是为了在网络应用环境间传递声明而制定的一种基于JSON的开放标准。

JWT特别