2. HTTP无状态与认证基础
在构建 Web 接口安全体系之前，必须深刻理解 HTTP 协议的核心特性——无状态性。这一特性既是 Web 可扩展性的基石，也是认证机制需要不断演进的根本原因。本章将剖析无状态协议的本质，对比传统认证方式的局限，并引出无状态认证的核心优势。
1. HTTP 无状态特性
HTTP 协议被设计为无状态（Stateless）协议，这意味着每个请求都是独立的，服务器不会在请求之间保留任何关于客户端的状态信息。服务器处理完一个请求后，不会记住该请求来自哪个客户端、之前执行过什么操作。
下图展示了 HTTP 无状态模型下，两个独立请求之间的隔离关系：
无状态设计带来了显著的优势：
- 高可扩展性：服务器无需维护会话状态，可以轻松水平扩展，任意服务器节点都能处理任意请求。
- 高可用性：单台服务器故障不会丢失会话数据，请求可被路由到其他健康节点。
- 简化实现：服务器逻辑更简单，无需复杂的会话同步机制。
但无状态也带来了挑战：如何识别用户身份？如何控制资源访问权限？这正是认证机制需要解决的问题。
2. 传统认证方式
为了在无状态的 HTTP 协议上实现用户身份识别，业界先后发展出多种认证方案。以下对比两种最经典的有状态认证方式。
2.1 Basic Auth（基本认证）
Basic Auth 是最简单的 HTTP 认证方式，它将用户名和密码以 Base64 编码后放入请求头中。
// 请求示例
GET /api/protected HTTP/1.1
Host: example.com
Authorization: Basic YWRtaW46c2VjcmV0MTIz其中 YWRtaW46c2VjcmV0MTIz 是 admin:secret123 的 Base64 编码结果。
2.2 Session 认证（基于会话的认证）
Session 认证是目前 Web 应用最广泛使用的传统认证方式。其核心思想是：服务器端维护一个会话存储（Session Store），客户端通过一个会话标识符（Session ID）关联到服务器端的会话数据。
下图展示了 Session 认证的完整流程：
Session 认证的核心问题在于服务器端需要维护状态：
| 维度 | 说明 | 影响 |
|---|---|---|
| 存储开销 | 每个活跃用户都需要在服务器端存储会话数据 | 用户量增大时，存储成本线性增长 |
| 扩展限制 | 会话数据需要跨服务器共享（如 Redis 集中存储） | 增加架构复杂度和单点故障风险 |
| 跨域问题 | Cookie 受同源策略限制，跨域认证困难 | 微服务架构下需要额外配置 |
| CSRF 风险 | Cookie 自动携带，易受跨站请求伪造攻击 | 需要额外 CSRF Token 防护 |
3. 无状态认证的优势
无状态认证（Stateless Authentication）旨在解决传统 Session 认证的上述痛点。其核心思想是：将用户身份和权限信息编码到令牌（Token）中，由客户端保存，服务器无需存储会话数据。JWT（JSON Web Token）正是这一理念的典型实现。
下表对比了 Session 认证与无状态认证（JWT）的关键差异：
| 对比维度 | Session 认证（有状态） | JWT 认证（无状态） |
|---|---|---|
| 服务器存储 | 需要存储会话数据 | 无需存储，令牌自包含 |
| 扩展性 | 需要共享会话存储（如 Redis） | 天然支持水平扩展 |
| 跨域支持 | 受 Cookie 同源策略限制 | 通过 HTTP Header 传递，无跨域限制 |
| 性能 | 每次请求需查询会话存储 | 仅需验证签名，无需查询外部存储 |
| 安全性 | 依赖 Cookie 安全属性（HttpOnly、Secure） | 依赖签名算法和密钥管理 |
- 零服务器存储：认证信息完全由客户端持有，服务器只需验证令牌的签名和有效期。
- 天然可扩展：任何服务器节点都可以独立验证令牌，无需共享会话状态，非常适合微服务和分布式架构。
- 跨域友好：令牌通过
Authorization请求头传递，不受同源策略限制，适用于前后端分离和跨域场景。 - 降低 CSRF 风险：令牌不通过 Cookie 自动携带，攻击者无法利用用户浏览器自动发送认证信息。
然而，无状态认证也并非完美无缺。令牌一旦签发，在有效期内无法被服务器主动撤销（除非引入黑名单机制，但这又引入了状态）。因此，短有效期 + 刷新令牌 成为 JWT 认证的常见实践，我们将在后续章节详细探讨。
4. 本章小结
- HTTP 的无状态特性是 Web 架构的基础，每个请求独立，服务器不保留客户端上下文。
- Basic Auth 简单但安全性低，每次请求携带明文密码（Base64 编码），必须配合 HTTPS。
- Session 认证 通过服务器端会话存储实现状态管理，但面临扩展性、跨域和 CSRF 等问题。
- 无状态认证（JWT） 将用户信息编码到令牌中，服务器无需存储会话，天然支持水平扩展和跨域，是构建现代 Web 接口安全的理想选择。