常連

注目の的

最近SPAアプリの勉強を始めて、ユーザー認証の方法として、JWT(JSON Web Token)があることを知りました。
1つチュートリアルをこなして感じたのですが、これって本当に良い方法なのでしょうか？

[https://ja.wikipedia.org/wiki/JSON_Web_Token](https://ja.wikipedia.org/wiki/JSON_Web_Token)
そのチュートリアルは、上記の「使用」にあるような、Tokenを返してlocalStorageに保存させ、認証が必要な問い合わせには Authorization: Bearer <Token> ヘッダーを付けてリクエスト。サーバー側でTokenを判定する...。
という流れのものでしたので、王道的な方法なのだと思うのですが、私が疑問に感じたのは以下の点です。

0. 従来のような、Sessionを使った認証でも問題ないのでは？
ログイン時にSessionIDを払い出してlocalStorageに保存させ、認証が必要な時に独自ヘッダーなりでSessionIDを送りつけてサーバー側で照合すれば、従来のCookieを用いるような認証と同じことが実現できるんじゃないかと思ったのですが違うのでしょうか。

0. JWTでの認証メリット
仮に1番の内容が正しいとしたら、JWTでの認証をするメリットは何でしょうか？
Sessionを用いた方法だと、ファイルなりDBなりにSessionの中身（つまり認証情報）を保持することになるが、JWTではPAYLOADの中に認証情報を詰め込むからサーバーが保持しなくて良いから楽だ、みたいな話でしょうか。

0. JWT自体の安全性
[https://jwt.io/](https://jwt.io/)
チュートリアルの中で上記URLに発行されたTokenをペーストして、「SIGNATUREを変えて見ましょう。自分がサーバーで設定した値にしないとTokenが一致しませんよね？」みたいなことをやっていたのですが、私が気になったのは「PAYLOADの中身丸見えじゃないか」ということです。
こんな簡単に中身が見えるものに認証情報を含めてしまって大丈夫なのでしょうか。

以上3点です。
よろしくお願いいたします。

合わせてついでに、と言っては失礼ですが、
0. Cookie & Session
0. JWT

この他に、ユーザー認証を実現する方法として何が考えられますか？
まずは自分で調べてみますので、キーワードだけでもご提示いただけたら幸いです。

SPAでの認証で、JWT(JSON Web Token)を採用するのは良い方法なのでしょうか？

現在Dockerでサイトを作りながら学んでおります。
Dockerのベースイメージとしてalpine、サーバーOSとしてCentOSを採用しています。
ここで疑問に思ったのですが、なぜベースイメージをcentosではなくalpineにしても動くのでしょうか？
(centosではなくalpineを使っているのはalpineがいいとネットで見たため)

Dockerの仕組みから、
「OSの名前はついているが、ベースイメージはOS的役割をするのではなく、そのOSっぽい環境を整える(ディレクトリ構成をそのOSっぽくするなど)のが役割」と予想しているのですが、どうなのでしょうか？

DockerのベースイメージがホストOSと違ってもいいのはなぜ？

非常に基本的なことなのだと思いますが、ローカル開発環境で作成したDjangoを、本番環境にデプロイする場合、実際にはどのようにされていますか？

本番サーバーで、Djangoをインストールして、プロジェクトを開始すると、manage.pyだけでなく、
settings.pyやurls.pyもできます。
さらに、本番サーバーでstartappをすると、models.py、admin.py、views.py等が作成されます。

開発環境で作成した、models.pyやviews.pyをどのように導入するのかが分かりません。
私は、デプロイというのは、開発環境で作ったファイルをscp等で本番サーバーに送って、それを実行するようなイメージを持っていました、

settings.pyやurls.pyは、本番サーバーのプロジェクト開始時にできたものを書き換えて使うのだろうと思います。
しかし、ひょっとして、本番サーバーではstartappを実行せず、例えば、開発環境で作ったmodels.py等をscp等で本番サーバーに送って、migrateをする感じなのでしょうか。
それとも、startappをした上で、そこでできたmodels.py等を、開発環境で作ったmodels.py等をscpt等で送って置き換えるのでしょうか。

あまりにも基本的過ぎるのか、このあたりの具体的な実務の情報が見当たらなかったので、お分かりの方、ご教示頂ければ幸いです。
よろしくお願いします。

【Django】デプロイの実務