Session认证

服务端存储会话数据，客户端持有Session ID。适合传统服务端渲染应用。

Token认证（JWT）

// JWT结构：Header.Payload.Signature
// 优点：无状态、可跨域、适合微服务
// 缺点：Token无法提前失效

选择建议

服务端渲染用Session，前后端分离用JWT，高安全需求用双Token（Access+Refresh）。