什么是JWT？
JWT——Json web token
是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准，可实现无状态、分布式的web应用授权
优势：
当前后端分离的时候我们回应为同源策略而无法设置cookie和sessionid（反向代理和jsonp可以解决），但这不如jwt来的简单
session认证：基于session的认证使应用本身很难得到扩展，随着不同客户端用户的增加，独立的服务器已无法承载更多的用户，而这时候基于session认证应用的问题就会暴露出来
基于token的鉴权机制：它不需要在服务端去保留用户的认证信息或者会话信息。这就意味着token认证机制的应用不需要去考虑用户在哪一台服务器登录了，这就是为应用的扩展提供了便利。
流程：1.用户使用用户名密码来请求服务器——服务器进行验证用户的信息服务器通过验证发送给用户一个token——客户端存储token，并在每次请求时福送上这个token值，服务端验证token值，并返回数据——这个token必须要在每次请求时传递给服务端，它应该保存在请求头里，另外服务端要支持CORS（跨来源资源共享）策略，一般在服务端设置Access-Control-Allow-Origin:*。
总结优点：Cookie是不允许垮域访问的，这一点对Token机制是不存在的，前提是传输的用户认证信息通过HTTP头传输.
无状态(也称：服务端可扩展行):Token机制在服务端不需要存储session信息，因为Token 自身包含了所有登录用户的信息，只需要在客户端的cookie或本地介质存储状态信息.
更适用CDN: 可以通过内容分发网络请求你服务端的所有资料（如：javascript，HTML,图片等），而你的服务端只要提供API即可.
去耦: 不需要绑定到一个特定的身份验证方案。Token可以在任何地方生成，只要在你的API被调用的时候，你可以进行Token生成调用即可.
更适用于移动应用: 当你的客户端是一个原生平台（iOS, Android，Windows 8等）时，Cookie是不被支持的（你需要通过Cookie容器进行处理），这时采用Token认证机制就会简单得多。
CSRF:因为不再依赖于Cookie，所以你就不需要考虑对CSRF（跨站请求伪造）的防范。
性能: 一次网络往返时间（通过数据库查询session信息）总比做一次HMACSHA256计算 的Token验证和解析要费时得多.
不需要为登录页面做特殊处理: 如果你使用Protractor 做功能测试的时候，不再需要为登录页面做特殊处理.
基于标准化:你的API可以采用标准化的 JSON Web Token (JWT). 这个标准已经存在多个后端库（.NET, Ruby, Java,Python, PHP）和多家公司的支持（如：Firebase,Google, Microsoft）
————————————————————————————————
使用jwt：
安装方式：
//--save是否需要取决于你是否需要把安装版本写进package.json
npm install （--save）jwt-simple
jwt构成解析：JWT的构成：
jwt由三部分构成：头部（header)、载荷（payload, )、签证（signature).
头部：jwt的头部承载两部分信息：
声明类型，这里是jwt
声明加密的算法 通常直接使用 HMAC SHA256
完整的头部就像下面这样的JSON：
{
'typ': 'JWT',
'alg': 'HS256'
}1234
然后将头部进行base64加密（该加密是可以对称解密的),构成了第一部分.
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9
playload12
载荷：就是存放有效信息的地方。，这些有效信息包含三个部分
标准中注册的声明
公共的声明
私有的声明
标准中注册的声明 (建议但不强制使用) ：
iss: jwt签发者
sub: jwt所面向的用户
aud: 接收jwt的一方
exp: jwt的过期时间，这个过期时间必须要大于签发时间
nbf: 定义在什么时间之前，该jwt都是不可用的.
iat: jwt的签发时间
jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击。1234567
公共的声明 ：
公共的声明可以添加任何的信息，一般添加用户的相关信息或其他业务需要的必要信息.但不建议添加敏感信息，因为该部分在客户端可解密.
私有的声明 ：
私有声明是提供者和消费者所共同定义的声明，一般不建议存放敏感信息，因为base64是对称解密的，意味着该部分信息可以归类为明文信息。
定义一个payload:
{
"sub": "1234567890",
"name": "John Doe",
"admin": true
}12345
然后将其进行base64加密，得到Jwt的第二部分。
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9
signature12
签证：这个签证信息由三部分header (base64后的)
payload (base64后的)
secret分需要base64加密后的header和base64加密后的payload使用.连接组成的字符串，然后通过header中声明的加密方式进行加盐secret组合加密，然后就构成了jwt的第三部分。
// javascript
var encodedString = base64UrlEncode(header) + '.' + base64UrlEncode(payload);
var signature = HMACSHA256(encodedString, 'secret'); // TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ1234
将这三部分用.连接成一个完整的字符串,构成了最终的jwt；
java方式实现
Maven
<dependency>
<groupId>com.auth0</groupId>
<artifactId>java-jwt</artifactId>
<version>3.1.0</version>
</dependency>
加密代码
public class JwtToken {
public static String createToken() throws Exception{
Map<String, Object> map = new HashMap<String, Object>();
map.put("alg", "HS256");
map.put("typ", "JWT");
String token = JWT.create()
.withHeader(map)//header
.withClaim("name", "zwz")//payload
.withClaim("age", "18")
.sign(Algorithm.HMAC256("secret"));//加密
return token;
}}
验证代码
public static void verifyToken(String token,String key) throws Exception{
JWTVerifier verifier = JWT.require(Algorithm.HMAC256(key)) .build();
DecodedJWT jwt = verifier.verify(token);
Map<String, Claim> claims = jwt.getClaims();
System.out.println(claims.get("name").asString());
}
