本篇文章将介绍jwt基础概念性知识，不含实操代码展示，特别适合该方面知识空白的人群，大神级别请选择性观看。不喜禁喷，出门右转，谢谢配合。
一、什么是JWT？JWT是简写，全称是JSON Web Token。
JSON Web Token（JWT）是一种开放标准（RFC 7519），它定义了一种紧凑（Compact）且自包含（Self-contained）的方式，用于在各方之间以JSON对象的形式安全传输信息。此信息可以验证和信任，因为它是经过数字签名的。JWT可以使用密钥（使用HMAC算法）或使用RSA或ECDSA的公钥/私钥对进行签名。
下面进一步解释这个定义中的一些概念： ·紧凑（Compact）：由于它的大小，它可以通过 URL、POST 参数或 HTTP 标头内部发送。此外，由于它的大小，它的传输速度很快。 ·自包含（Self-contained）：有效负载（后面介绍）中包含有关用户的所有必需信息，可以避免多次查询数据库。虽然JWT可以加密以在各方之间提供保密性，但我们将重点专注于签名令牌。签名的令牌可以验证其中包含的声明的完整性，而加密的令牌会向其他方隐藏这些声明。当使用公钥/私钥对对令牌进行签名时，签名还证明只有持有私钥的一方才是签署它的一方。
二、什么时候应该使用 JSON Web Token？以下是一些JSON Web token非常有用的场景：
授权（Authorization）：这是使用JWT最常见的场景。用户登录后，每个后续请求都将包含JWT，从而允许用户访问该令牌允许的路由、服务和资源。单点登录是当今广泛使用JWT的一项功能，因为它的开销很小，并且能够在不同的域中轻松使用。
信息交换（Information Exchange）：JSON Web Token是在各方之间安全传输信息的好方法。因为可以对 JWT 进行签名（例如，使用公钥/私钥对），所以您可以确定发件人就是他们所说的那个人。此外，由于使用标头和有效负载计算签名，您还可以验证内容没有被篡改。
三、JSON Web Token 结构是什么？在其紧凑的形式中，JSON Web token由三部分组成，三部分由点（.）分隔，它们是：
标头（Header）
有效载荷（Payload）
签名（Signature）
因此，JWT结构通常如下所示：
xxxxx.yyyyy.zzzzz接下来，让我们把不同的部分分解一下。
1、标头（Header）标头通常由两部分组成：
令牌的类型，即JWT
正在使用的签名算法，例如HMAC SHA256或RSA。
例如：
{ "alg": "HS256", //签名算法 "typ": "JWT" //类型 }然后，这个 JSON 被Base64Url编码以形成 JWT 的第一部分。
2、有效载荷（Payload）令牌的第二部分是有效载荷，其中包含声明。声明是关于实体（通常是用户）和附加数据的陈述。声明分为三种类型：
注册（registered）声明
公开（public）声明
私有（private ）声明
注册声明（Registered claims）：这些是一组预定义的声明，它们不是强制性的，但建议使用，以提供一组有用的、可互操作的声明。其中一些是： iss（发行人）、 exp（到期时间）、 sub（主题）、 aud（受众）等。
请注意，声明名称只有三个字符长，因为JWT是紧凑的。公开声明（Public claims）：这些可以由使用 JWT 的人随意定义。但是为了避免冲突，它们应该在IANA JSON Web Token Registry中定义，或者定义为包含抗冲突命名空间的 URI。
私人声明（Private claims）：这些是为在同意使用它们的各方之间共享信息而创建的自定义声明，既不是注册声明也不是公共声明。
一个有效载荷的示例可能是下面这个样子：
{ "iss": "xx网站", //发行人 "name": "张欧昊辰", //全名 "email": "mwstars@163.com", //邮箱 "admin": true //是否是管理员 }然后，对有效负载进行Base64Url编码以形成 JWT的第二部分。
请注意，对于已签名的令牌，此信息虽然受到保护以防篡改，但任何人都可以读取。除非已加密，否则请勿将机密信息放入 JWT 的有效负载或标头元素中。
3、签名（Signature）要创建签名部分，必须获取编码的标头、编码的有效负载、密钥、标头中指定的算法，并对其进行签名。
例如，如果想使用 HMAC SHA256 算法，签名将通过以下方式创建：
HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)