Cookie 是否会用于 Web API，Bearer 令牌是否会用于 Web 应用程序？

Question

我正在尝试了解 Cookie 之间的区别； Bearer 和 JWT 专门在 .NET Core 上下文中。我花了几天的时间阅读这个。

我的研究告诉我，Cookies 和 Bearer 是替代的身份验证机制，它们都表示为 JWT。

.NET Core Web 应用程序应该使用 Cookies 而 .NET Core Web APIs 应该使用 Bearer 是否公平？我问的原因是因为我为 Bearer 查看的每个示例（在 .NET Core 上下文中）都使用 Web API，而我为 Cookies （在 .NET Core 上下文中）查看的每个示例都使用 Web 应用程序。我可以理解这一点，因为我的研究告诉我 cookie 最适合网络应用程序（使用浏览器 - 最适合 cookie），但是网络 API 可以被非浏览器应用程序使用（因此 Bearer 更适合）。

我是否理解正确？

我今天看了很多其他类似的问题，例如。这个：JWT vs cookies for token-based authentication。但是，没有人回答我的具体问题 - Cookie 是否会用于 Web API，Bearer 令牌是否会用于 Web 应用程序？

Answer 1

不记名令牌是一种访问令牌。不记名令牌的概念由 oAuth 推广：

拥有不记名令牌（“不记名”）的任何一方都可以使用它来 获得对相关资源的访问权（无需演示 拥有一个加密密钥）。

翻译：你不需要证明你的身份来访问资源，不记名令牌就足以让你进入。

JWT 是一种用编码、内容等规则来表示声明的格式；它可以用作不记名令牌。 cookie 是 HTTP 中管理状态的一种方式。 cookie 可以包含 JWT 或更通用的不记名令牌，也可以不包含上述任何内容。

是否可以使用 cookie 来授权访问 REST API？ （.NET Core Web API 是 REST API）。答案是肯定的——这在技术上是可行的。这是一个old but still decent discussion on the subject（+一个更多recent and specific问答）。

是否可以使用不记名令牌来授权对 Web 应用程序的访问，大概是在人类挥舞用户代理的交互场景中？再次回答是 - 这是可能的。如果 Web 应用程序旨在这样做，那么如果您将不记名令牌发送到授权标头中，它就可以提供受保护的资源。不涉及 cookie。 blog 的前半部分很好地讨论了 web 应用中基于会话（cookie）与基于令牌（无状态）的身份验证选项。