Cookie-based аутентификация

Сервер создает сессию и отправляет cookie с session ID клиенту. При каждом запросе браузер автоматически отправляет cookie. Пример:

// Установка cookie на сервере (Express)
res.cookie('sessionId', 'abc123', { httpOnly: true });

Token-based (JWT)

Сервер генерирует подписанный токен после успешного входа. Клиент хранит токен (обычно в localStorage) и добавляет в заголовки:

fetch('/api/data', {
  headers: {
    'Authorization': `Bearer ${token}`
  }
});

OAuth/OpenID Connect

Использует стороннего провайдера (Google, GitHub). После подтверждения получаем access token:

// Редирект на провайдера
window.location = 'https://provider.com/auth?client_id=YOUR_ID';

Основные различия:

• Cookies защищены от XSS (httpOnly), но уязвимы к CSRF
• JWT уязвимы к XSS, но не требуют сессий на сервере
• OAuth делегирует аутентификацию третьей стороне