بعد از ورود کاربر، سرور باید در درخواست‌های بعدی او را بشناسد. دو روش رایج:

نشست (Session)

  • سرور اطلاعات نشست را نگه می‌دارد و کلاینت فقط شناسه را در کوکی می‌فرستد.
  • ابطال فوری و ساده: نشست را حذف کنید.
  • نیاز به ذخیره‌سازی مشترک در چند سرور.

JWT

  • توکن امضاشده با ادعاهای کاربر؛ سرور بدون جست‌وجو در پایگاه داده آن را اعتبارسنجی می‌کند.
  • ابطال پیش از انقضا دشوارتر است؛ معمولاً توکن کوتاه‌مدت و refresh token استفاده می‌شود.
  • محتوای آن رمزنگاری نیست و فقط امضا شده؛ اطلاعات حساس داخلش نگذارید.

نکتهٔ امنیتی: توکن را ترجیحاً در کوکی HttpOnly و Secure نگه دارید تا از دسترس جاوااسکریپت و XSS دور بماند. برای بسیاری از وب‌سایت‌ها نشست ساده کافی و امن‌تر است.