什麼是JWT
Json web token (JWT), 是為了在網路應用環境間傳遞宣告而執行的一種基於JSON的開放標準（RFC 7519).該token被設計為緊湊且安全的，特別適用於分散式站點的單點登入（SSO）場景。
JWT的宣告一般被用來在身份提供者和服務提供者間傳遞被認證的使用者身份資訊，以便於從資源伺服器獲取資源，也可以增加一些額外的其它業務邏輯所必須的宣告資訊，該token也可直接被用於認證，也可被加密。
JWT的構成
第一部分我們稱它為頭部（header)
第二部分我們稱其為載荷（payload)
第三部分是簽證（signature).
header：
jwt的頭部承載兩部分資訊：
- 宣告型別，這裡是jwt
- 宣告加密的演算法 通常直接使用 HMAC SHA256
完整的頭部就像下面這樣的JSON：
然後將頭部進行base64加密（該加密是可以對稱解密的),構成了第一部分.
playload：
載荷就是存放有效資訊的地方。這個名字像是特指飛機上承載的貨品，這些有效資訊包含三個部分
- 標準中註冊的宣告
- 公共的宣告
- 私有的宣告
標準中註冊的宣告 (建議但不強制使用) ：
- iss: jwt簽發者
- sub: jwt所面向的使用者
- aud: 接收jwt的一方
- exp: jwt的過期時間，這個過期時間必須要大於簽發時間
- nbf: 定義在什麼時間之前，該jwt都是不可用的.
- iat: jwt的簽發時間
- jti: jwt的唯一身份標識，主要用來作為一次性token,從而回避重放攻擊。
公共的宣告 ：
公共的宣告可以新增任何的資訊，一般新增使用者的相關資訊或其他業務需要的必要資訊.但不建議新增敏感資訊，因為該部分在客戶端可解密.
私有的宣告 ：
私有宣告是提供者和消費者所共同定義的宣告，一般不建議存放敏感資訊，因為base64是對稱解密的，意味著該部分資訊可以歸類為明文資訊。
定義一個payload:
然後將其進行base64加密，得到Jwt的第二部分。
signature：
jwt的第三部分是一個簽證資訊，這個簽證資訊由三部分組成：
- header (base64後的)
- payload (base64後的)
- secret
這個部分需要base64加密後的header和base64加密後的payload使用.連線組成的字串，然後通過header中宣告的加密方式進行加密 secret組合加密，然後就構成了jwt的第三部分。
將這三部分用
.連線成一個完整的字串,構成了最終的jwt:
如何應用
在請求頭裡加入Authorization，並加上Token標註：
headers: { 'Authorization': 'Token' + token }
服務端會驗證token，如果驗證通過就會返回相應的資源。整個流程就是這樣的:
總結
優點
- 因為json的通用性，所以JWT是可以進行跨語言支援的，像JAVA,JavaScript,NodeJS,PHP等很多語言都可以使用。
- 因為有了payload部分，所以JWT可以在自身儲存一些其他業務邏輯所必要的非敏感資訊。
- 便於傳輸，jwt的構成非常簡單，位元組佔用很小，所以它是非常便於傳輸的。
- 它不需要在服務端儲存會話資訊, 所以它易於應用的擴充套件
安全相關
- 不應該在jwt的payload部分存放敏感資訊，因為該部分是客戶端可解密的部分。
- 保護好secret私鑰，該私鑰非常重要。
- 如果可以，請使用https協議