Зачем нам JWT, когда у нас есть сеансы клиентов?

Question

Я понимаю, что JWT являются токенами без государственной регистрации, которые хранят подписанную информацию о претензии клиента и передаются на сервер через HTTP-заголовок авторизации.

Мой вопрос: зачем нам JWT, когда у нас уже есть сеансы клиентов (https://github.com/mozilla/node-client-sessions)? Клиентские сеансы концептуально одинаковы. Это файлы cookie, которые содержат подписанную информацию, которая при проверке означает, что cookie не был отпущен. Кроме того, клиентские сеансы хранятся в файле cookie и передаются через HTTP-заголовок Cookie. Это одно и то же, только используя разные слова. Я ошибаюсь?

Итак, почему JWT даже вокруг? Я мог понять, что, возможно, дело в том, чтобы стандартизировать работу токенов проверки подлинности, но мы отлично ладили без стандартного идентификатора сеанса (каждая реализация делала все по-своему). Кроме того, почему JWT не использует файлы cookie в качестве средства передачи. С помощью файлов cookie вам не нужно явно отправлять правильный заголовок для каждого запроса (упрощая Ajax-запросы).

Я что-то упустил?

Answer 1

Знаки JWT подписываются форматированными документами JSON, которые утверждают претензии пользователя (или любого принципала). Если вы доверяете эмитенту токена, вы доверяете требованиям в токене и можете принимать решения об авторизации на основе этого.

Значки JWT часто используются для вызова внешних веб-API. Эти API не обязательно живут в том же домене, что и ваш веб-сайт, и поэтому не могут использовать те же файлы cookie, что и ваш сайт. Значки JWT используются в службах REST, так как им не нужна информация о сеансе, хранящаяся на сервере. Использование токенов JWT также не является допустимым для CSRF атак.