json中用到的token

JSON Web Token (JWT)是一个开放标准(RFC 7519)。

用于JSON对象在各个层之间安全地传输信息。该信息可以被验证和信任，通过数字签名。

应用场景：
    Authorization (授权) : 这是使用JWT的最常见场景。一旦用户登录，后续每个请求都将包含JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是现在广泛使用的JWT的一个特性，因为它的开销很小，并且可以轻松地跨域使用。
   
Information Exchange (信息交换) : 对于安全的在各方之间传输信息而言，JSON Web
Tokens无疑是一种很好的方式。因为JWTs可以被签名，例如，用公钥/私钥对，你可以确定发送人就是它们所说的那个人。另外，由于签名是使用头和有效负载计算的，您还可以验证内容没有被篡改。

JSON Web Token由三部分组成，它们之间用圆点(.)连接。这三部分分别是：

    Header
    Payload
    Signature

典型的JWT样子：xxxxx.yyyyy.zzzzz

Header:

header典型的由两部分组成：
　　1-token的类型（“JWT”）和
　　2-算法名称（比如：HMAC SHA256或者RSA等等)
如：
{
"typ":"JWT",
"alg":"HS256"
}
最后用Base64对这个JSON编码就得到JWT的第一部分xxxxx.yyyyy.zzzzz

payload 
声明有三种类型: registered, public 和 private。

• Registered claims : 这里有一组预定义的声明，它们不是强制的，但是推荐。比如：iss (issuer), exp (expiration time), sub (subject), aud (audience)等。
• Public claims : 可以随意定义。
• Private claims : 用于在同意使用它们的各方之间共享信息，并且不是注册的或公开的声明。

例如：
{
“iss”: “发行者”,
“sub”: 主题”,
“aud”: “观众”，
“exp”:”过期时间”,
“iat”:”签发时间”
以下可以添加自定义数据
“id”:”1”,
“nickname”:”昵称”
} 

根据JWT claim set[用base64]加密得到的。claim set是一个json数据，是表明用户身份的数据，可自行指定字段很灵活，也有固定字段表示特定含义（但不一定要包含特定字段，只是推荐）。
Base64算法是可逆的，不可以在载荷部分保存用户密码等敏感信息。如果业务需要，也可以采用对称密钥加密。

对payload进行Base64编码就得到JWT的第二部分xxxxx.yyyyy.zzzzz

签名部分signature
HMACSHA256(Base64(Header) + “.” + Base64(Payload), secret)，secret是加密的key。
签名的目的是用来验证头部和载荷是否被非法篡改。
验签过程描述：获取token值，读取Header部分并Base64解码，得到签名算法。根据以上方法算出签名，如果签名信息不一致，说明是非法的。

工作原理：

JSON Web Token工作原理

    初次登录：用户初次登录，输入用户名密码

    密码验证：服务器从数据库取出用户名和密码进行验证

    生成JWT：服务器端验证通过，根据从数据库返回的信息，以及预设规则，生成JWT

    返还JWT：服务器的将token放在cookie中将JWT返还

    带JWT的请求：以后客户端发起请求，带上cookie中的token信息。