jwt token 和 传统 session 相比，究竟，分别在什么场景有什么优势

感觉有必要研究下 jwt

网上了解了一下

假设我的环境如下：

https 加密全站

api 服务于 app 和 web

我的理解目前如下：

如果 api 返回数据给浏览器，用 session 没有问题。 如果要返回数据给 app ，那么 app 不支持 cookies ，就可能无法授权获取数据。

然后我的疑问大概如下：

1.听说用 session 会浪费服务器的内存？好像是说 session 存在服务器内存（数据库）里

2.jwt 和 session 的差距难道只是适用的平台不同吗？（ web 和 app ）

3.jwt 传送的数据如何防止串改？比如我要修改 id 为 1 用户的 name 为 123 ，假如对方嗅探到了 jwt ，他解码后修改，重新打包加密传送给服务器不行吗？因为这个数据也是我本地生成的，那么应该可以伪造才对呀？或者在这之前，服务器和客户端已经约好了另外一个密钥？

4.jwt 数据传送给服务器，服务器要解密，解密过程会浪费服务器性能，相比用 cookie ，是不是更容易遭受 cc 攻击？

能告诉我，你选择 jwt ，而不是选择 session 的理由吗？

谢谢