JWT token 认证原理

JWT token 分为三部分组成:
第一部分是头部(header),第二部分我们称其为载荷（payload, 类似于飞机上承载的物品)，第三部分是签证（signature).
头部包含:1声明类型 这里是JWT 2声明加密的算法 通常直接用 HMAC SHA256加密
完整的头部就像下面这样的JSON：

{
‘typ’: ‘JWT’,
‘alg’: ‘HS256’
}
载荷（payload):包含用户的基本信息 ,因为base64是可以根据加密方式进行解密的,所以一般不保存敏感信息
签证（signature).:secret秘钥,只保存在服务器,秘钥非常重要不能泄露,是一个随机字符串
将头部进行Base64加密构成JWT token第一部分.载荷（payload)进行base64加密构成JWT token第二部分
将头部,荷载和签证拼在一起用HMAC SHA256加密,得到的字符串为JWT token第三部分

原理:如果用户解密出头部和荷载,更改了用户信息,服务器校验的时候用秘钥和客户端携带的头部和荷载通过HMAC SHA256加密得到JWT token的第三部分与用户携带的第三部分进行对比,不一样则认为是无效的JWT token,
HMAC SHA256加密是不可逆的,因为用户不知道秘钥所以无法更改第三部分
JWT token只保存在客户端,跟session不同,可以减少服务器的压力