权限认证是Web安全的核心。从传统的Session-Cookie到现代的JWT、SSO及OAuth 2.0，认证体系的演进旨在应对日益复杂的架构和安全需求。通过梳理其发展脉络，可以清晰地理解不同技术方案的适用场景与设计初衷，为构建安全可靠的系统提供决策参考。
智能速览
传统Session-Cookie模式在分布式架构和移动端适配上存在明显短板。
JWT通过自包含用户信息实现了服务端无状态验证，大幅降低了验证开销。
SSO单点登录通过中央认证服务，解决了企业多系统间的跨域访问难题。
OAuth 2.0是第三方应用授权的行业标准，提供了多种适应不同场景的授权模式。
精华内容
每一种认证方案的诞生，都是为了解决特定场景下的痛点。从有状态到无状态，从单系统到跨平台，理解这一演进过程，是构建现代Web应用安全体系的必修课。
传统模式困境
最初的WWW-Authenticate方式由浏览器直接传递明文密码，无法精细控制登录生命周期，体验较差。随后，Session-Cookie成为Web时代经典方案，由服务端存储Session，客户端携带ID进行验证。但该方案是有状态的，服务器的内存消耗会随用户量增加而增大，且在分布式集群中必须解决Session共享的复杂问题。同时，由于移动端对Cookie的支持不完善，此方案在混合应用架构中也面临挑战。
Token与JWT兴起
为适配移动端并减轻服务端压力，Token机制应运而生。用户登录后获取Token，每次请求携带即可。其中，JSON Web Token (JWT) 因其无状态特性而备受青睐。JWT由Header、Payload和Signature三部分组成，将用户信息直接加密存储在Token自身中。服务端只需验证Token签名，无需查询数据库或缓存，极大地简化了验证逻辑，降低了服务器开销，成为前后端分离架构的首选认证方案。
SSO统一体验
随着企业应用增多，用户需要频繁登录不同子系统，体验割裂。单点登录（SSO）技术解决了这一痛点。其核心是引入一个独立的中央认证服务（如CAS），所有子系统都信任该中心的认证结果。用户只需在CAS服务器登录一次，之后访问任何相互信任的子系统时，都无需再次输入账号密码，实现了跨站点的无缝访问，统一了用户体验。
OAuth 2.0授权
当需要授权第三方应用访问用户数据时，OAuth 2.0成为事实上的行业标准。它定义了四种核心授权模式以适应不同场景：授权码模式，流程最完整、安全性最高，适用于有后端的Web应用；隐式授权模式，简化了流程，适用于纯前端应用或移动端；客户端凭证模式，用于服务器与服务器之间的通信，无用户参与；密码授权模式，要求用户将凭据交给客户端，仅适用于高度可信的内部应用。
权限认证技术的演进，是架构复杂性与安全性需求不断博弈的结果。从有状态到无状态，从单体到分布式，每种方案都有其最佳实践。理解这些技术背后的设计哲学，才能在实际工作中做出最合适的技术选型。未来，面对万物互联和更微的服务化，认证体系又将迎来哪些新的挑战？
