Token和JWT的区别

服务端验证客户端发送的token信息要进行数据的查询操作Jwt验证客户端发来的token就不用，在服务端使用密钥校验就可以了，不用数据库的查询。

Token需要查库验证token 是否有效，而JWT不用查库或者少查库，直接在服务端进行校验，并且不用查库。因为用户的信息及加密信息在第二部分payload和第三部分签证中已经生成，只要在服务端进行校验就行，并且校验也是JWT自己实现的。

TOKEN

概念： 令牌， 是访问资源的凭证。

Token的认证流程：

• 用户输入用户名和密码，发送给服务器。
• 服务器验证用户名和密码，正确的话就返回一个签名过的token，浏览器客户端拿到这个token。
• 客户端自己保存token，后续每次请求中，浏览器会把token作为http header发送给服务器，服务器验证签名是否有效，如果有效那么认证就成功，可以返回客户端需要的数据。

特点：
这种方式的特点就是客户端的token中自己保留有大量信息，服务器没有存储这些信息。

JWT

概念：JWT是json web token缩写。可以使用在RESTFUL接口定义，也可以使用在普通的web。它将用户信息加密到token里，服务器不保存任何用户信息。服务器通过使用保存的密钥验证token的正确性，只要正确即通过验证。

组成：
JWT包含三个部分： Header头部，Payload负载和Signature签名。由三部分生成token，三部分之间用“.”号做分割。 列如 ：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

• Header 声明信息。 在Header中通常包含了两部分：type：代表token的类型，这里使用的是JWT类型。
  alg:使用的Hash算法，例如HMAC SHA256或RSA.
  { “alg”: “HS256”, “typ”: “JWT” } 这会被经过base64Url编码形成第一部分
• Payload token的第二个部分是荷载信息，它包含一些声明Claim(实体的描述，通常是一个User信息，还包括一些其他的元数据)
  声明分三类:
  1)Reserved Claims,这是一套预定义的声明，并不是必须的,这是一套易于使用、操作性强的声明。包括：iss(issuer)、exp(expiration time)、sub(subject)、aud(audience)等
  2)Plubic Claims,
  3)Private Claims,交换信息的双方自定义的声明 { “sub”: “1234567890”, “name”: “John Doe”,“admin”: true } 同样经过Base64Url编码后形成第二部分
• signature 使用header中指定的算法将编码后的header、编码后的payload、一个secret进行加密。例如使用的是HMAC SHA256算法，大致流程类似于: HMACSHA256( base64UrlEncode(header) + “.” + base64UrlEncode(payload),secret)这个signature字段被用来确认JWT信息的发送者是谁，并保证信息没有被修改 。

验证流程：

• 在头部信息中声明加密算法和常量，然后把header使用json转化为字符串
• 在载荷中声明用户信息，同时还有一些其他的内容，再次使用json把在和部分进行转化，转化为字符串
• 使用在header中声明的加密算法来进行加密，把第一部分字符串和第二部分的字符串结合和每个项目随机生成的secret字符串进行加密，生成新的字符串，此字符串是独一无二的
• 解密的时候，只要客户端带着jwt来发起请求，服务端就直接使用secret进行解密，解签证解出第一部分和第二部分，然后比对第二部分的信息和客户端穿过来的信息是否一致。如果一致验证成功，否则验证失败。

特点：

• 三部分组成，每一部分都进行字符串的转化
• 解密的时候没有使用数据库，仅仅使用的是secret进行解密
• Jwt使用的secret千万不能丢失

---

四种认证方式区别：cookie、session、token、jwt

1、cookie：由于HTTP协议是无状态的，而服务器端的业务必须是要有状态的。Cookie诞生的最初目的是为了存储web中的状态信息，以方便服务器端使用。比如判断用户是否是第一次访问网站。目前最新的规范是RFC 6265，它是一个由浏览器服务器共同协作实现的规范。 Cookie的处理分为： 服务器像客户端发送cookie 浏览器将cookie保存 之后每次http请求浏览器都会将cookie发送给服务器端

2、session： 为什么要有session的出现？ 答：是由于网络中http协议造成的，因为http本身是无状态协议，这样，无法确定你的本次请求和上次请求是不是你发送的。如果要进行类似论坛登陆相关的操作，就实现不了了。session生成方式？ 答：浏览器第一次访问服务器，服务器会创建一个session，然后同时为该session生成一个唯一的会话的key,也就是sessionid，然后，将sessionid及对应的session分别作为key和value保存到缓存中，也可以持久化到数据库中，然后服务器再把sessionid，以cookie的形式发送给客户端。这样浏览器下次再访问时，会直接带着cookie中的sessionid。然后服务器根据sessionid找到对应的session进行匹配； 还有一种是浏览器禁用了cookie或不支持cookie，这种可以通过URL重写的方式发到服务器；

3、token： 访问资源的令牌 验证流程：

1. 把用户的用户名和密码发到后端
2. 后端进行校验，校验成功会生成token, 把token发送给客户端
3. 客户端自己保存token, 再次请求就要在Http协议的请求头中带着token去访问服务端，和在服务端保存的token信息进行比对校验。

4、JWT： java web token 的缩写，可使用restful接口定义，也可以用在web中 段落引用组成： header 在header中声明一些信息 payload、

签证 验证流程：

1. 段落引用在头部信息中声明加密算法和常量， 然后把header使用json转化为字符串
2. 段落引用在载荷中声明用户信息，同时还有一些其他的内容；再次使用json把载荷部分进行转化，转化为字符串
3. 使用在header中声明的加密算法和每个项目随机生成的secret来进行加密， 把第一步分字符串和第二部分的字符串进行加密， 生成新的字符串。词字符串是独一无二的。
4. 解密的时候，只要客户端带着JWT来发起请求，服务端就直接使用secret进行解密。

特点：

1.三部分组成，每一部分都进行字符串的转化
2.解密的时候没有使用数据库，仅仅使用的是secret进行解密。
3.JWT的secret不能泄密

---

Token和Jwt存在什么区别

token需要查库验证token 是否有效，而JWT不用查库或者少查库，直接在服务端进行校验，并且不用查库。因为用户的信息及加密信息在第二部分payload和第三部分签证中已经生成，只要在服务端进行校验就行，并且校验也是JWT自己实现的。 TOKEN 概念： 令牌， 是访问资源的凭证。

Token的认证流程：

1. 用户输入用户名和密码，发送给服务器。
2. 服务器验证用户名和密码，正确的话就返回一个签名过的token（token可以认为就是个长长的字符串），浏览器客户端拿到这个token。
3. 后续每次请求中，浏览器会把token作为http header发送给服务器，服务器验证签名是否有效，如果有效那么认证就成功，可以返回客户端需要的数据。 特点： 这种方式的特点就是客户端的token中自己保留有大量信息，服务器没有存储这些信息。

JWT 概念：

JWT是json web token缩写。它将用户信息加密到token里，服务器不保存任何用户信息。服务器通过使用保存的密钥验证token的正确性，只要正确即通过验证。

组成：

JWT包含三个部分： Header头部，Payload负载和Signature签名。由三部分生成token，三部分之间用“.”号做分割。