REST 身份验证无状态

Question

我不认为“无状态”是一个词，但它会：）

我正在尝试为 REST 服务 (PHP) 创建身份验证。我正在尝试使服务尽可能无状态。我读到here(tip #4) 你不应该使用 $_SESSION 这很有意义，但它建议使用 cookie 作为替代方案。我可能误解了“无状态”是什么，但我看不出 cookie 是如何被接受的，我认为令牌是要走的路。

谁能解释一下 cookie 在无状态的 rest 应用程序中如何被接受而会话不是？

Answer 1

$_SESSION 在服务器上，但 cookie 保存在客户端并附加到每个请求。因此，如果您的应用程序有多个服务器，则 cookie 中的持久状态仍然有效，但 $_SESSION 中的持久状态无效。

总结：服务器端必须是无状态的，但 cookie 是每个请求的一部分，因此没有“神奇”状态。这个想法是每个相同的请求都会产生相同的结果。