JSON Web令牌（JWT）是一个开放尺度（RFC 7519），它界说了一种紧凑且自包括的方法，用于在各方之间安详地传输信息作为JSON工具。由于此信息是颠末数字签名的，因此可以被验证和信任。可以利用奥秘（利用HMAC算法）或利用RSA或ECDSA的公钥/私钥对对JWT举办签名。
尽量可以对JWT举办加密以提供两边之间的保密性，但我们将重点存眷已签名的令牌。签名的令牌可以验证个中包括的声明的完整性，而加密的令牌则将这些声明埋没在其他方的眼前。当利用公钥/私钥对对令牌举办签名时，签名还证明只有持有私钥的一刚刚是对其举办签名的一方。由于缺乏安详性，所以不能把如暗码等敏感信息放在令牌中。
什么时候应该利用JWT？以下是JSON Web令牌有用的一些环境：
授权：这是利用JWT的最常见方案。一旦用户登录，每个后续请求将包罗JWT，从而答允用户会见该令牌答允的路由，处事和资源。单一登录是当今遍及利用JWT的一项成果，因为它的开销很小而且可以在差异的域中轻松利用。
信息互换：JSON Web令牌是在各方之间安详传输信息的好要领。因为可以对JWT举办签名（譬喻，利用公钥/私钥对），所以您可以确定发件人是他们所说的人。另外，由于签名是利用标头和有效负载计较的，因此您还可以验证内容是否未被改动。
JWT布局是什么？JSON Web令牌以紧凑的形式由三部门构成，这些部门由点（.）脱离，别离是：
标头
有效载荷
签名
因此，JWT凡是如下所示。
xxxxx.yyyyy.zzzzz
标头：凡是由两部门构成，令牌范例和利用的签名算法。
{ "alg": "HS256", "typ": "JWT" }
有效载荷：有三种说明范例，预界说声明、民众声明和私有声明。声明名称仅是三个字符，因为JWT是紧凑的
预界说声明：包罗iss（发出者）， exp（到期时间）， sub（主题）， aud（受众）等，是推荐的可是不是强制的可以没有。
民众声明：民众声明，这个部门可以随便界说，可是要留意和 IANA JSON Web Token 斗嘴。
私有声明：这个部门是共享被认定信息中自界说部门。
签名：要建设签名部门，您必需获取编码的标头，编码的有效负载，机要，标头中指定的算法，并对其举办签名。
譬喻，假如要利用HMAC SHA256算法，则将通过以下方法建设签名：
HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)
签名用于验证动静在此进程中没有变动，而且对付利用私钥举办签名的令牌，它还可以验证JWT的发送者是它所说的真实身份。
组合在一起如下为输出是三个由点脱离的Base64-URL字符串：
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9. eyJpc3MiOiJodHRwOi8vbG9jYWxob3N0OjUyMDAiLCJhdWQiOlsiYXBpIiwiYXBpIl0sIkd1aWQiOiIzM2NhZmJkNS1jZWEyLTRjOWMtYWZlYS01MDYyZjM3YWUyOTAiLCJodHRwOi8vc2NoZW1hcy5taWNyb3NvZnQuY29tL3dzLzIwMDgvMDYvaWRlbnRpdHkvY2xhaW1zL3JvbGUiOlsic3lzdGVtIiwiYWRtaW4iXSwiZXhwIjoxNjA2NjU2NjI0fQ. JvDHuowbOnWiyxMIFc9gG5rw1LSSc0xx68L31oRfxS0
如何利用JWT每当用户想要会见受掩护的路由或资源时，用户署理都应发送JWT，凡是利用承载模式在Authorization标头中发送JWT 。标头的内容应如下所示：
Authorization: Bearer <token>
在某些环境下，这可以是无状态授权机制。处事器的受掩护路由将在Authorization标头中查抄有效的JWT ，假如存在，则将答允用户会见受掩护的资源。假如JWT包括须要的数据，则可以淘汰查询数据库中某些操纵的需求，尽量这种环境并非老是如此。
假如令牌是在Authorization标头中发送的，则跨域资源共享（CORS）不会成为问题，因为它不利用cookie。
下图显示了如何获取JWT并将其用于会见API或资源：
应用措施或客户端向授权处事器请求授权。这是通过差异的授权流程之一执行的。譬喻，典范的切合OpenID Connect的Web应用措施将/oauth/authorize利用通过端点。
授予授权后，授权处事器会将会见令牌返回给应用措施。
该应用措施利用会见令牌来会见受掩护的资源（譬喻API）。
请留意，利用签名的令牌，令牌中包括的所有信息城市袒露给用户或其他方，纵然他们无法变动它。这意味着您不该将机要信息放入令牌中。
.net core的JWT验证授权我们直接新建一个.net core webapi的项目，我这里版本是3.1的
1. 先利用nuget安装：Microsoft.AspNetCore.Authentication.JwtBearer。留意版本和.net core版本的兼容。net5的支持5.0.0+的版本，不然就用对应可以用的低版本吧。
2. 在appsettings.json设置文件中写好我们的 JWT 的设置参数如下：
"Jwt": { "Secret": "your-256-bit-secret", "Iss": "https://localhost:44355", "Aud": "api" }
3. 在Startup.cs的ConfigureServices要领中添加授权认证如下：