JWT 和 Session 认证有什么区别？各有什么安全问题？

一句话速记：基于 Session 的鉴权方案在服务端存储状态、客户端保存 Session ID，便于即时吊销登录态，但依赖集中式缓存存储；JWT 依靠包含用户声明的加密签名实现客户端无状态校验，系统水平扩展性好，但签发后服务端难以在有效期内主动使其失效。二者的核心权衡在于「服务端即时管控能力」与「无状态扩展性」之间如何取舍。

认证

同章节的其他八股

• 限流、熔断、降级有什么区别？常见的限流算法（令牌桶、漏桶、滑动窗口）怎么选？
• MySQL 为什么用 B+ 树做索引？联合索引的最左前缀原则是什么？哪些情况索引会失效？
• MySQL 的 redo log、undo log、binlog 各有什么作用？两阶段提交怎么保证一致？
• MySQL 的事务隔离级别有哪些？MVCC 是怎么实现的？幻读怎么解决？
• Redis 缓存穿透、击穿、雪崩分别是什么？怎么解决？缓存和数据库的一致性怎么保证？
• Redis 为什么快？常用数据结构的底层实现是什么？RDB 和 AOF 持久化怎么选？
• 怎么用 Redis 实现分布式锁？过期、误删、续期这些问题怎么处理？
• 消息队列怎么保证消息不丢失、不重复消费？多分区下怎么保证顺序？
• 分布式事务有哪些方案（2PC、TCC、本地消息表 / Outbox、Saga）？接口幂等怎么做？
• 分布式 ID 有哪些生成方案？雪花算法的结构和时钟回拨问题怎么处理？
• TCP 三次握手和四次挥手的过程？为什么要 TIME_WAIT？大量 TIME_WAIT 怎么办？
• HTTPS 的 TLS 握手流程是什么？对称加密和非对称加密在里面分别干什么？