@ZSeptember 我这里不是说 token 啊，做认证的 token 当然在服务端生成，这没毛病。但是交互过程中又不仅仅登陆这一种“状态”，还有各种交互状态，很多人说把这些状态全部丢到客户端，就比如直接丢到 JWT 中。

还是拿我上面举过的例子来说吧。

比如，我有一个账户，即属于运营人员角色，又属于某种管理人员角色，但运行时角色只能二选一，即角色运行时互斥。比如服务端通过一个接口返回可选的角色，客户端把这些角色展现给用户，然后用户选择某个角色，客户端再把用户的选择（即所谓的“状态”）保存在客户端本地存储中，后面每次请求带上该角色（状态）即可。

注意，这个状态可不是服务端在服务端代码里面生成，然后再丢到响应头或者主体里面返回给客户端的，就是地地道道客户端自己生成并保存到客户端本地存储中的。你能说这种有问题么？再者服务端当然不会信客户端的数据啊，但是服务端本来就该做验证啊，比如验证用户是谁，存不存在，权限够不够等等，客户端发篡改的数据过来，服务端验证也过不了。