Token的优势：

 1.无状态，可扩展

 基于服务器的验证：

 通过Session来完成，但会暴露许多的问题：


1.若将验证用户信息存储在Session中，每次请求用户都会向服务器发送验证信息，相当于不断的创建新的Session。



 用户量过大时候，会造成拥堵，所以使用了Token来完成用户的验证信息。


2.扩展性比较差

 3.CORS（跨域资源共享）：当我们需要让数据跨多台移动设备上使用时候，跨域资源的共享是一个头疼问题。 使用Ajax抓取另一个资源，就会出现禁止请求的情况。

 4.CSRF（跨站请求伪造）：用户在访问银行网站时候，他们很容易受到跨站请求伪造的工具，并且能够利用其访问其他的网站。这些问题需要扩展性。

 基于Token的验证原理：

 客户端存储的Tokens是无状态的，能扩展，基于无状态和不存储Session信息，负载均衡能够将用户信息从一个 服务传到其他服务器上。



 2.安全性

 请求中发送token而不再是发送cookie能够防止CSRF(跨站请求伪造)。即使在客户端使用cookie存储token，

 cookie也仅仅是一个存储机制而不是用于认证。不将信息存储在Session中，让我们减少了对session操作。

 token是有时效的，一段时间之后用户需要重新验证。我们也不一定需要等到token自动失效，token有撤回的操作，

 通过token revocataion可以使一个特定的token或是一组有相同认证的token无效。

 3.可扩展性

Tokens能够创建与其它程序共享权限的程序。例如，能将一个随便的社交帐号和自己的大号(Fackbook或是Twitter)联系起来。当通过服务登录Twitter(我们将这个过程Buffer)时，我们可以将这些Buffer附到Twitter的数据流上(we are allowing Buffer to post to our Twitter stream)。


使用tokens时，可以提供可选的权限给第三方应用程序。当用户想让另一个应用程序访问它们的数据，我们可以通过建立自己的API，得出特殊权限的tokens。


4.多平台跨域


我们提前先来谈论一下CORS(跨域资源共享)，对应用程序和服务进行扩展的时候，需要介入各种各种的设备和应用程序。


Having our API just serve data, we can also make the design choice to serve assets from a CDN. This eliminates the issues that CORS brings up after we set a quick header configuration for our application.

只要用户有一个通过了验证的token，数据和资源就能够在任何域上被请求到。




 

5.基于标准

创建token的时候，你可以设定一些选项。我们在后续的文章中会进行更加详尽的描述，但是标准的用法会在JSON Web Tokens体现。


最近的程序和文档是供给JSON Web Tokens的。它支持众多的语言。这意味在未来的使用中你可以真正的转换你的认证机制。