鉴权

document.cookie="username=John Doe; expires=Thu, 18 Dec 2043 12:00:00 GMT";

使用 path 参数告诉浏览器 cookie 的路径。默认，cookie 属于当前页面

document.cookie="username=John Doe; expires=Thu, 18 Dec 2043 12:00:00 GMT; path=/";

读取

var x= document.cookie; //以字符串方式返回所有cookie

cookie作用域

domain本身以及domain下的所有子域名

跨域请求访问cookie

1. cookie不能跨根域，但JS可以，JS可以将cookie传给另外的域再保存一次域名cookie，这样可能存在不同的

cookie域包含同一个cookie值

1. browser不允许跨根域读写
2. 采用SSO单点登录方式

没有cookie会出现什么问题？

cookie：解决如何记录客户端用户信息的问题。保存在本地的一部分数据，再次发送请求被携带传送到服务器，通知server是否请求来自统一状态浏览器，如保持用户登录

使基于无HTTP协议记录的信息状态稳定成为可能

作用：

1. 会话状态
2. 个性化设置
3. 浏览器行为跟踪

鉴权

Cookie

服务端响应客户端请求时，会返回一个cookie，后续客户端的请求携带这个cookie

特点

1. 存储在客户端，可随意纂改
2. 影响性能，最大为4kb
3. 一个浏览器对于一个网站只能存不超过20个Cookie，而浏览器一般只允许存放300个Cookie
4. 移动端对Cookie支持不友好
5. 一般情况下存储的是纯文本，对象需要序列化之后才可以存储，解析需要反序列化

通过设置正确的domain和path，减少数据传输，节省带宽

Cookie-session

局限性

1. 依赖Cookie，但Cookie可被禁用
2. 系统不停请求缓存服务器查找信息，内存开销增加
3. 存在单点登录失败的可能性

若负责session的机器挂了，整个登录就挂了，但项目中，负责session的机器也是有多台机器的集群进行负载均衡增加可靠性

SSO

（单点登录）三种类型

Single Sign On 在多个应用系统中，只需要登录一次，就可以访问其他相互信任的应用系统

单点登录

1. 同一站点下
2. 相同的顶级域名
3. 不同的顶级域名

相同域名和相同顶级域名下可共享cookie

但是不同域呢？

CAS（中央认证服务）原理流程和Cookie-session模式相同

Json Web Token

最简单的token组成:uid(用户唯一的身份标识)、time(当前时间的时间戳)、sign(签名，由token的前几位+哈希算法压缩成一定长的十六进制字符串，防止恶意三方拼接token请求)

JWT由header（头部）、payload（负载）、signature（签名）这三个部分组成，中间用.来分隔开：

Header.Payload.Signature

jwt:

"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyaWQiOiJhIiwiaWF0IjoxNTUxOTUxOTk4fQ.2jf3kl_uKWRk wjOP6uQRJFqMlwSABcgqqcJofFH5XCo"

弊端

1. JWT的退出是假的登录失效，只要之前的token没过期依然可以用
2. 安全性依赖密钥
3. 加密生成的数据长

优点

1. 不依赖Cookie
2. 没有单点登录的cookie-sessionId模式好扩展
3. 服务器保持无状态性