你在浏览器地址栏敲下“zhihu.com”，意思回车，意思页面跳出来一个输入框让你填手机号和密码。意思这个动作，意思就是意思web登录。它跟你在手机App上点“微信一键登录”不一样——App登录可能调用本地指纹、意思面容，意思或者直接复用系统里已有的意思账号状态。Web登录发生在网页上，意思浏览器是意思唯一的中介。服务器根本不认识你，意思它只认HTTP请求里带的意思那串Cookie或者Token。

我做过一个实验：打开Chrome的意思开发者工具，清空所有Cookie，意思刷新一个已登录的意思论坛。页面立刻变成“请登录”。再手动把之前备份的Cookie字符串塞回去，刷新——又进去了。整个过程没有输密码。这说明web登录的本质不是“验证你是你”，而是“浏览器能出示一张服务器之前发过的通行证”。

那张通行证怎么来的？最常见的方式是表单提交。你填账号密码，点登录，浏览器把数据POST到服务器。服务器查数据库，比对密码哈希，通过就生成一个Session ID，通过Set-Cookie响应头写进浏览器。之后每次请求，浏览器自动带上这个Cookie。服务器拿Session ID去内存或Redis里查，找到对应的用户ID，就算你登录了。

但Session ID存在服务器端，用户多了内存吃紧。于是有了Token方案，比如JWT。登录成功后服务器签发一个加密字符串，里面直接塞了用户ID和过期时间。浏览器存下来（通常是localStorage），每次请求放在Authorization头里。服务器验签就行，不用查存储。我见过一个创业团队把JWT过期时间设成30天，结果用户手机丢了，没法远程踢下线——只能等它自己过期。这就是设计取舍。

还有一种更隐蔽的登录：OAuth。你点“使用GitHub登录”，浏览器跳转到GitHub，你授权，GitHub回调你的网站并带一个code。你的服务器拿code去换access token，再拿token去GitHub问“这人是谁”。整个过程你的网站没碰过用户在GitHub的密码。很多开发者第一次接OAuth会懵：为什么不能直接拿code当登录凭证？因为code只能用一次，而且必须由服务器端交换，防止前端泄露。

Web登录的安全问题几乎都围绕“凭证怎么存、怎么传”。早些年有人把密码明文存Cookie里，现在看像笑话。但今天仍有网站把JWT放在URL参数里，结果被浏览器历史、服务器日志、Referer头到处泄露。我见过一个后台系统，登录接口返回的token直接拼在跳转链接上，复制链接发给同事，同事不用密码就进去了。这种漏洞不是理论，是真实发生过的。

另一个常被忽略的点：登录状态和“已认证”不是一回事。你登录了A网站，不代表浏览器知道你是谁。浏览器只负责存储和发送Cookie，它不判断对错。所以有人用XSS偷走你的Cookie，就能冒充你。服务器端如果只靠Cookie判断身份，没有二次验证（比如检查User-Agent变化、IP突变），那被盗号只是时间问题。

普通用户不需要懂这些。你只需要知道：登录页面那个小锁图标代表HTTPS，别在公共WiFi下登录网银，定期清理浏览器保存的密码。但如果你自己写网站，记住一件事——永远不要在客户端存明文密码，永远不要相信前端传过来的“我已登录”标志。服务器端每一次请求都要重新验证凭证。

Web登录从1994年Netscape发明Cookie开始，核心逻辑就没变过：服务器发凭证，浏览器存凭证，下次请求带上凭证。变的只是凭证的形式——从Session ID到JWT，从密码到扫码。下次你点“登录”按钮时，可以想想背后那串字符正在网络里跑来跑去，而它决定了服务器把你当成谁。