नए web एप्लिकेशन को authenticate करने के लिए आप server sessions चुनेंगे या JWTs?

डिफ़ॉल्ट रूप से httpOnly, Secure, SameSite cookie में सर्वर की sessions रखिए, क्योंकि आप तुरंत revoke कर सकते हैं और client के पास कुछ भी संवेदनशील नहीं होता। JWTs तब अपनी जगह कमाते हैं जब सर्विसेज़ कोई session store साझा नहीं कर सकतीं और आपको stateless verification चाहिए। इस्तेमाल करें तो access tokens अल्पजीवी रखें, उनके साथ rotating refresh token रखें, और यह मान लें कि expiry से पहले revoke करने के लिए अब आपको एक denylist संभालनी होगी।

एक backend वाले सामान्य प्रोडक्ट के लिए मैं सर्वर की sessions से शुरू करता हूं। httpOnly cookie में पड़ी opaque session id का मतलब है कि ब्राउज़र उसे पढ़ नहीं सकता, तो कोई XSS bug तुरंत account नहीं सौंप देता, और किसी को हर जगह से logout करना एक row डिलीट करने भर का काम है। वह तुरंत revocation पहली बार तब बहुत कीमती लगती है जब आपको रात दो बजे कोई compromised account बंद करना हो। मैं JWTs की तरफ तब जाता हूं जब कई सर्विसेज़ को बिना साझा store के caller की जांच करनी हो, या जब एक mobile client और एक browser client एक ही API पर आते हों। तब भी मैं access tokens करीब पंद्रह मिनट के रखता हूं, साथ में rotating refresh token, और refresh के दोबारा इस्तेमाल को चोरी के संकेत की तरह पकड़ता हूं। जो मैं नहीं करता वह है tokens को localStorage में रखना; अगर मुझे वे ब्राउज़र में चाहिए तो वे SameSite वाली httpOnly cookie में जाते हैं और state बदलने वाली requests पर CSRF सुरक्षा के साथ। statelessness असली फायदा है, पर लोग revoke न कर पाने की कीमत कम आंकते हैं।