JSON Web Tokens VS Sessions
Se estivermos falando sobre escalabilidade, não é possível usar somente Sessions porque o uso de memória ou I/O que você vai precisar é gigantesco. Usando somente JWT, tanto faz ter 10, 100 ou 100 milhões de usuários, mas nem tudo é somente doce.
O modelo híbrido é, normalmente, o melhor. Você pode persistir sessions para que o estado do seu usuário seja persistido entre vários dispositivos diferentes. Enquanto isso, o uso do JWT pode te auxiliar na redução do tráfego de rede e operações de I/O. Os JWT podem ser usados também para te dar uma aplicação de Login Único, onde as credenciais do usuário só serão utilizadas no primeiro login e, depois, você utilizará tokens de autorização para renovar seus tokens normais.
Para sua aplicação ter o estado mantido, basta assinar seu JWT com alguma informação relevante ao estado do usuário. Lembre-se que o JWT pode guardar qualquer informação que você quiser no lado do cliente, com o cliente sem conseguir ler aquilo. Você pode adicionar a rota atual, o caminho que ele percorreu e persistir no database depois, pode guardar o nomeDeUsuario
ou algum token aleatório usado para identificar a sessão.
Sobre tráfego de rede, conforme você vai adicionando informações ao JWT, ele vai crescendo e, com isso, cresce também o tráfego de dados. É necessário perceber que cada estratégia possui um ponto negativo, sendo o uso do processador para decodificar os tokens o negativo dos JWT. Enquanto isso, o lado negativo das sessions é o uso de I/O e RAM.
Algo importante a se notar é que o design de sua aplicação deverá perceber quando é necessário fazer uso de I/O, sessions in-memory ou JWT.
Dois exemplos de aplicações minhas que posso te dar:
- 1) Uma aplicação empresarial para 50~100 pessoas com pouco acesso.
Nessa aplicação, não me importei com muita coisa. As 50~100 seções estavam sempre na RAM para garantir o estado dos usuários. Uma queda de energia e 'xablau'. Enquanto isso, o login dos usuários era feito somente uma vez e, após isso, o servidor mandava um JWT somente com o username
do usuário, que era utilizado para identificá-lo e salvo nos cookies. O servidor confiava no JWT criptografado e tomava o username como verdadeiro. Enquanto isso, a cada login o JWT era renovado por mais uma semana e, caso estivesse vencido, o servidor solicitava as credenciais.
- 2) Uma aplicação de aprendizado, um jogo escalável.
Nessa aplicação, não haviam sessões. O usuário simplesmente cria a conta, recebe seu JWT, que é armazenado no Local Storage e fica logado para sempre. Sempre que ele vai para a aplicação, sua conta é identificada e um I/O é feito para lhe criar um personagem para jogar com base nas partidas anteriores. Sempre que o jogador morre, é feito outro I/O para salvar algumas informações sobre a partida e o personagem morto.
Resumo rápido
Tokens
- Padronizado pela RFC 7519.
- Bastante compatível com dispositivos móveis.
- Consome mais CPU, mas menos RAM
- Inseguro.
- Nasceu para ser pequeno e manter logado com único login.
- Armazenado no cliente, processado no servidor.
Sessions
- Apesar de não ser padronizado, é largamente utilizado.
- Workarounds para lidar com mobile.
- Consome mais RAM e I/O, mas menos CPU.
- Inseguro.
- Nasceu para 'manter usuário logado'.
- Armazenado no servidor.
Tudo é inseguro, só deixei como um lembrete. ;)