1.什么是JWT？
JWT全称JSON Web Token。是为了在网络应用环境键传递声明而执行的一种基于JSON的开放标准。
2.JWT的使用场景？
授权：一旦用户登录，每个后续请求将包括JWT，允许用户访问该令牌允许的路由，服务和资源。单点登录是一种在广泛使用JWT的功能，因为它的开销很小，并且能够在不同的域中轻松使用。
信息交换：JSON Web令牌是在各方之间安全传输信息的好方法。因为JWT可以签名 – 例如，使用公钥/私钥对 – 您可以确定发件人是他们所说的人。此外，由于使用标头和有效负载计算签名，您还可以验证内容是否未被篡改。
3.JWT的结构组成？
由三部分组成，用（.）进行分隔，他们是
- 头部（header）
- 有效载荷（payload）
- 签名（signature）
因此，JWT通常如下表示
xxxxxx.yyyyy.zzzzz
头部：
JWT头部分是一个描述JWT元数据的JSON对象，通常如下所示。
在上面的代码中，alg属性表示签名使用的算法，默认为HMAC SHA256（写为HS256）；typ属性表示令牌的类型，JWT令牌统一写为JWT。然后，这个json被编码称Base64Url,形成JWT的第一部分。
有效载荷：
有效载荷是JWT的主体内容部分，也是一个JSON对象，包含需要传递的数据。JWT指定七个默认字段供选择。
iss:发行人
exp:到期时间
sup:主题
aud:用户
nbf:在此之前不可用
iat:发行时间
jti：JWT ID用于标识该JWT
除以上默认字段外，我们还可以自定义私有字段，如下例：
请注意，默认情况下JWT是未加密的，任何人都可以解读其内容，因此不要构建隐私信息字段，存放保密信息，以防止信息泄露。
JSON对象也使用Base64 URL算法转换为字符串保存，形成JWT第二部分。
签名：
签名是对上面两部分数据签名，通过指定的算法生成哈希，以确保数据不会被篡改。
首先，需要制定一个密钥（secret）。该密钥仅仅为保存在服务器中，并且不能向用户公开。然后，使用头部中指定的签名算法（默认情况下为HMACSHA256）根据以下公式生成签名。
在计算出签名后，将JWT头部，有效载荷和签名的三个部分组合成一个字符串，每个部分用”.”分隔，就构成整个JWT对象，返回给用户。
4.JWT的用法？
JWT的原理是，服务器认证以后，生成一个JSON对象，发回给用户，如下面格式
{
"姓名": "张三",
"角色": "管理员",
"到期时间": "2018年7月1日0点0分"
}
以后用户与服务端通信的时候，都要返回这个JSON对象。服务器完全只靠这个对象认定用户身份。为了防止用户篡改数据，服务器在生成这个对象的时候，会加上签名。
客户端收到服务器返回的JWT，可以存储到Cookie里面，也可以存储到localStorage。
此后，客户端每次与服务器通信，都要带上这个JWT。你可以把它放在cookie里面自动发送，但是这样就不能实现跨域。所以更好的做法是放在HTTP请求的头信息Authorization字段里面
另一种做法是，跨域的时候，JWT就放在POST请求的数据里面。
5.JWT特点？
（1）JWT默认是不加密的，但也是可以加密的。生成原始Token以后，可以用密钥在加密一次。
（2）JWT不加密的情况下，不能将秘密数据写入JWT。
（3）JWT不仅可以用于认证，也可以死用于交换信息。有效使用JWT，可以降低服务器的查询数据库的次数。
（4）JWT最大的缺点是，用于服务器不保存sessi000on状态，因此无法在使用过程中废止某个token，或者更改token的权限，也就是说，一旦JWT签发了，在到期之前就会始终有效，除非服务器部署额外的逻辑。
（5）JWT本身包含了认证信息，一旦泄露，任何人都可以获得该令牌的所有权限。为了减少盗用，JWT的有效期限应该设置的比较短。对于一些比较重要的权限，使用时应该再次对用户进行认证。
（6）为了较少盗用，JWT不应该使用HTTP协议明码传输，要使用HTTPS协议传输。
7.JWT的入门案例（Java方式）
创建一个项目，先引入依赖。
创建一个Jwtutil工具类，里面有包括创建Jwt和解析Jwt
创建JWT
public String createJWT(String id, String subject, long ttlMillis) throws Exception {
//指定签名的时候使用的签名算法，也就是header那部分，jjwt已经将这部分内容封装好了
SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;
//生成JWT的时间
long nowMillis = System.currentTimeMillis();
Date now = new Date(nowMillis);
//创建payload的私有声明（根据特定的业务需要添加，如果要拿这个做验证，一般是需要和jwt的接收方提前沟通好验证方式的）
Map<String,Object> claims = new HashMap<String,Object>();
claims.put("uid", "DSSFAWDWADAS...");
claims.put("user_name", "admin");
claims.put("nick_name","DASDA121");
/**
* 生成签名的时候使用的秘钥secret,这个方法本地封装了的，一般可以从本地配置文件中读取，切记这个秘钥不能外露哦。它就是你服务端的私钥，在任何场景都不应该流露出去。一旦客户端得知这个secret, 那就意味着客户端是可以自我签发jwt了。
*/
SecretKey key = generalKey();
//下面就是在为payload添加各种标准声明和私有声明了
//这里其实就是new一个JwtBuilder，设置jwt的body
JwtBuilder builder = Jwts.builder()
//如果有私有声明，一定要先设置这个自己创建的私有的声明，这个是给builder的claim赋值，一旦写在标准的声明赋值之后，就是覆盖了那些标准的声明的
.setClaims(claims)
//设置jti(JWT ID)：是JWT的唯一标识，根据业务需要，这个可以设置为一个不重复的值，主要用来作为一次性token,从而回避重放攻击。
.setId(id)
//iat: jwt的签发时间
.setIssuedAt(now)
//sub(Subject)：代表这个JWT的主体，即它的所有人，这个是一个json格式的字符串，可以存放什么userid，roldid之类的，作为什么用户的唯一标志。
.setSubject(subject)
//设置签名使用的签名算法和签名使用的秘钥
.signWith(signatureAlgorithm, key);
if (ttlMillis >= 0) {
long expMillis = nowMillis + ttlMillis;
Date exp = new Date(expMillis);
//设置过期时间
builder.setExpiration(exp);
}
//就开始压缩为xxxxxxxxxxxxxx.xxxxxxxxxxxxxxx.xxxxxxxxxxxxx这样的jwt
return builder.compact();
}
解析JWT
public Claims parseJWT(String jwt) throws Exception{
//签名秘钥，和生成的签名的秘钥一模一样
SecretKey key = generalKey();
//得到DefaultJwtParser
Claims claims = Jwts.parser()
//设置签名的秘钥
.setSigningKey(key)
//设置需要解析的jwt
.parseClaimsJws(jwt).getBody();
//claims相当于一个map，包含了我们想要的信息
return claims;
}
接下来测试一下，首先创建一个jwt,得到一个xxxxxx.zzzzzz.yyyyy字符串
我们再来解析一下这个字符串:
这样，我们就能够根据这个字符串解析出用户信息，从而验证登录授权等功能。
