用 session 还是用 token？ rest api 发生业务错误时返回的 http status 应该是 200 还是 4xx/5xx？

这两个典型的月经问题，本质上是一个眼界问题。

为什么要用 token 替代 session ？最根本的原因是 session 不支持多端。技术负责人在做技术规划和选型的时候，肯定要考虑多端的问题。但咱们很多只做 web 开发的前端同学是不需要考虑这个的，觉得用 token 完全没有必要也就理所当然了。

为什么 rest api 发生业务错误时，大多返回的 http status 是 200 ？同样也是多端的问题。做 web 开发的同学可以试着问一下做移动 APP 开发的同学，或者是做服务端开发的同学，http(s)协议对他们来说是个什么东西？他们会不会关心 http status ？从我作为服务端开发人员的角度来说，http(s)协议就是个数据传输协议，正常情况下它必须是 200 。200 的时候出了问题是我的 bug，不是 200 的话就不是我开发的问题，你该去找运维。

提出这个问题，我的目的是希望做 web 开发的同学可以拓宽一些眼界。跳出自己的圈子看问题，才能发现问题的本质。