ruby-on-rails - SPA 的 token 与 Cookie

Question

我正在为 rails 应用程序使用 devise_token_auth，在前端使用 react，在后端使用 rails作为后端。

在自述文件中，作者指出

If you're building SPA or a mobile app, and you want authentication, you need tokens, not cookies.`

为什么？我了解 token 和 cookie 之间的基本区别，但不明白为什么您不能只使用 cookie(简单地将 header 包含在任何 XHR 请求中)？

Answer 1

有几个主要原因。

首先，大多数 SPA 被设计为无状态的，使用基于 cookie 的身份验证并不是无状态的。使用 cookie 还会使每个请求花费更长的时间，因为每个请求都会进行一次查找。

Cookie 也与域相关联。大多数 SPA 使用跨多个域的多项服务，这与基于 cookie 的身份验证不相符。这也适用于具有 Web 应用程序和移动应用程序的 SPA，使用基于 token 的身份验证意味着扩展它要容易得多。

Token也可以用来存储数据，只需要生成一次，之后除了服务端读取token外什么都不做。这意味着您可以在那里存储用户权限等，服务器只需很少的工作就可以获取此信息。