Your team is building a mobile app that calls three stateless backend services running behind a round-robin load balancer, with no shared session store (no Redis) in the budget. Users must stay logged in across requests that may hit any of the three instances. Which authentication approach best fits this constraint, and why?

Question

Accepted Answer

JWT là token tự chứa (self-contained) và được ký, nên bất kỳ instance nào cũng xác thực được cục bộ bằng khóa/public key mà không cần session store dùng chung — phù hợp với ràng buộc stateless, không có Redis. (a) sai vì session in-memory không chia sẻ giữa các instance nên round-robin sẽ làm user bị mất đăng nhập. (d) khả thi nhưng sticky session làm mất cân bằng tải và hỏng phiên khi instance restart/scale. (c) buộc gửi lại mật khẩu và truy vấn DB mỗi request, kém an toàn và kém hiệu năng hơn.

Câu hỏi hôm nay