剛開始學習使用有關 JWT 的 Authentication。

昨天談到什麼是 JWT (JSON Web Token)? [SteemSnap - JWT (JSON Web Token) 學習日記 - 01](https://steemcn.herokuapp.com/hive-180932/@nuagnorab/steemsnap-jwt-json-web-token-01)

但是要說有關 JWT-based Authentication，我認為需要先說說有關 session-based Authentication。再比較先能特顯一方優勢。

先要理解的是由於HTTP是無狀態協議，因此要克服此問題，現時流行的方法都是使用上 Session 或一些 Token。

---

### <center>Basic session-based authentication</center>

![](https://hackernoon.com/photos/pazJZnCJTqSZxQS4tltZo4Gatbo1-fy453y0e)
[source - Hackermoon](https://hackernoon.com/photos/pazJZnCJTqSZxQS4tltZo4Gatbo1-fy453y0e)

1. 用戶訪問後端URL並使用credentials登錄。
2. credentials通過POST請求發送到後端服務器上的 /login route。
3. 後端服務器將使用提供的credentials從數據庫中獲取用戶。 (將用戶提供的密碼與附加到數據庫用戶對象的salt進行比較，以檢查它們是否匹配。)
4. 如果匹配，則中間件會將用戶對象的 session 附加到當前 cookie 中。
5. 對於每個新請求，cookie中的session將附加到該請求。 因此服務器將返回請求的 route 和其請求數據。

---

以上就是簡單的 session-based Authentication flow 了。

下次會說說簡單的 JWT-based Authentication flow。

Cheers!