别用 JWT 管理用户会话的全部评论

感谢分享！这篇文章核心观点是：JWT 不适合用作用户会话管理，它本就不是为此设计。真正可靠、安全且成熟的做法仍是服务端 Session + HttpOnly Cookie。JWT 的优势在于短时效、一次性的授权场景（如下载链接、SSO中转、微服务内部身份传递），而非长期登录态。用 JWT 管理会话反而带来体积大、无法主动失效、数据过期、安全隐患（如存 Local Storage 引发 XSS 风险）等问题。框架自带的 Session 方案开箱即用、久经考验，应优先选用。