被吹上天的 JWT，为什么主流网站一个都不用

摘要

文章以 github.com 为例：开发者工具里只有一条 _gh_session，是一串 Rails 框架加密后的会话数据，作者借此说明主流网站为何不把状态塞进 JWT，而继续用服务端会话 Cookie。适合正在为鉴权方案选型、想知道 JWT 在真实系统里到底卡在哪里的后端开发者。

近 7 天热度