1.传统的session认证

http协议本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，那么下一次请求时，用户还要再一次进行用户认证才行，因为我们并不能知道是哪个用户发出的请求，所以为了让我们的应用能识别是哪个用户发出的请求，我们只能在服务器存储一份用户登录的信息，这份登录信息会在响应时传递给浏览器，告诉其保存为cookie,以便下次请求时发送给我们的应用，这样我们的应用就能识别请求来自哪个用户了,这就是传统的基于session认证。

• 基于session认证所显露的问题

服务器压力: 每个用户经过我们的应用认证之后，我们的应用都要在服务端做一次记录，以方便用户下次请求的鉴别，通常而言session都是保存在内存中，而随着认证用户的增多，服务端的开销会明显增大。

扩展性: 用户认证之后，服务端做认证记录，如果认证的记录被保存在内存中的话，这意味着用户下次请求还必须要请求在这台服务器上,这样才能拿到授权的资源，这样在分布式的应用上，相应的限制了负载均衡器的能力。这也意味着限制了应用的扩展能力。

CSRF: 因为是基于cookie来进行用户识别的, cookie如果被截获，用户就会很容易受到跨站请求伪造的攻击。

2.基于token的鉴权机制

基于token的鉴权机制类似于http协议也是无状态的，它不需要在服务端去保留用户的认证信息或者会话信息。这就意味着基于token认证机制的应用不需要去考虑用户在哪一台服务器登录了，这就为应用的扩展提供了便利。

• token的使用场景

1.防止表单重复提交
2.身份验证

• token的工作流程

1.客户端使用用户名跟密码请求登录

2.服务端收到请求，去验证用户名与密码， 验证成功后，服务端会签发一个 Token，再把这个 Token 发送给客户端

3.客户端收到 Token 以后可以把它存储起来，比如放在 Cookie 里或者 Local Storage 里，客户端每次向服务端请求资源的时候需要带着服务端签发的 Token

4.服务端收到请求，然后去验证客户端请求里面带着的 Token，如果验证成功，就向客户端返回请求的数据

3 身份验证案例

3.1登录时产生TOKEN并存储token

//执行登录
@PostMapping("login")
public String login(String name, String password, String flag, Model model, HttpServletResponse response, HttpServletRequest request) throws UnsupportedEncodingException {
  User user = userService.login(name);//先通过用户名查询用户是否存在
 if (null != user) {//如果用户存在
   if (user.getPassword().equals(password)) {//比较密码是否一致，则登录成功
     String token = user.getId() + "";//使用用户的id作为token
     int maxAge = "1".equals(flag) ? 60 * 30 : 60 * 20;//状态1 token保存为30分钟 否则执行默认保存20分钟
     TokenUtil.saveToken(token, maxAge, response);//调用工具类存储token
    return "redirect:/listGoods?token=" + token;//
}
   model.addAttribute("lgError", "密码错误");
}
   model.addAttribute("lgError", "无此账户");
return "login";
}

3.2 token的工具类

/**
 *TokenUtil工具类
 */
public class TokenUtil {
    
    public static final String TOKEN_NAME="USER_COOKIE";//token 名称
    /**
     *  保存token到到cookie中
     * @param token token
     * @param maxAge 保存时长 单位秒
     * @param response
     */
    public static void saveToken(String token,int maxAge,HttpServletResponse response){
        Cookie cookie = new Cookie(TOKEN_NAME, token);
        cookie.setMaxAge(maxAge);//设置有效期
        response.addCookie(cookie);
    }
    //获取cookie中的token
    public static String getToken(HttpServletRequest request){
        Cookie[] cookies = request.getCookies();
        if(null!=cookies) {
            for (Cookie cookie : cookies) {
                if (TOKEN_NAME.equals(cookie.getName())) {
                    return cookie.getValue();
                }
            }
        }
        return null;
    }
}

3.3 每个向服务器发送的请求都需要携带token

3.3.1 案例1： a标签

3.3.2 案例2：form表单

3.4 拦截校验token