| 对比维度 | Session + Cookie | JWT | OAuth2.0 |
|---|---|---|---|
| 存储位置 | 服务端存储 Session，客户端存 Cookie | 客户端存储 Token，服务端无状态 | 授权服务器存储，客户端存 Access Token |
| 扩展性 | ❌ 需要共享 Session，扩展复杂 | ✅ 无状态，易于水平扩展 | ✅ 分布式架构，支持大规模系统 |
| 安全性 | ⚠️ Cookie 可能被窃取，需要 CSRF 防护 | ⚠️ Token 泄露风险，需 HTTPS + 短期有效 | ✅ 行业最佳实践，支持多种安全机制 |
| 实现复杂度 | 🟢 简单，开箱即用 | 🟡 中等，需要 Token 管理 | 🔴 复杂，需要授权服务器 |
| 适用场景 | 传统 Web 应用、后台管理系统 | SPA、移动端 API、微服务 | 第三方登录、开放平台、SSO |