Api “是怎么回事？”；“令牌身份验证”；任何不同于；cookie认证；？

从表面上看，“令牌身份验证”似乎与传统的“cookie身份验证”基本相同

令牌身份验证：

用户向API提交用户名/密码

API使用访问令牌进行响应

客户端存储访问令牌，用于在将来的请求中标识用户

Cookie验证：

用户向API提交用户名/密码

API用cookie响应

客户端存储cookie以在将来的请求中标识用户

令牌身份验证似乎与cookie身份验证基本相同，只是大多数HTTP客户端已经知道如何自动管理cookie，而您必须手动管理API令牌

---

我错过了什么？使用令牌身份验证的好处是什么？它真的值得付出额外的努力吗？

额外的努力是否值得，取决于您保护的内容以及谁在使用API

当客户端不基于浏览器时，基于令牌的身份验证更容易。因此，如果您针对的是移动应用程序，那么基于令牌的身份验证值得考虑

但在浏览器场景中，它也有一些优势。由于浏览器不会自动发送

授权

标头，因此安全令牌不易受到攻击

如果您的web应用程序位于API之外的另一个域上，则不会发送Cookie，因为。安全令牌不受此影响