session 通常和 jwt 进行对比，一般 session 更加好用，比如 session 能够中性化管理，实现拉黑恶意用户、拓展信息等功能，jwt 一旦发布出去就无法撤销（如果要实现撤销功能，需要 redis 之类的存储，本质和 session 一样了，失去了优势）。

session 通常授权到“人”，jwt 授权给 “机器”