关于Spring Security 和 JWT（JSON Web Token）

Spring Security 和 JWT（JSON Web Token）可以很好地结合在一起，实现基于令牌的身份验证和权限校验。下面是它们配合进行权限校验的一般流程：

1. 用户登录

1. 用户通过表单登录或其他认证方式（例如，OAuth）向后端发送身份验证请求。
2. 后端验证用户的用户名和密码，并生成一个 JWT。
3. 后端将 JWT 返回给客户端。

2. JWT生成和验证

1. 在用户登录成功后，后端生成一个 JWT，其中包含用户的身份信息和所具有的权限。
2. JWT中包含的信息可能包括用户ID、用户名、角色、权限等。
3. JWT的有效载荷（Payload）被加密（通常使用签名）以防止篡改。

3. 客户端存储JWT

1. 客户端收到JWT后，通常会将其存储在本地（例如，浏览器的 localStorage 或者客户端的内存中）。
2. 客户端将 JWT 在以后的请求中包含在请求头或者请求参数中。

4. 请求时的权限校验

1. 客户端发送请求时，将 JWT 放在请求头中。
2. 后端接收到请求，提取 JWT。
3. 后端验证 JWT 的签名和有效期，解密 JWT 获得用户信息。
4. 后端根据用户信息进行权限校验，判断用户是否具有执行请求所需的权限。
5. 如果权限校验通过，后端处理请求并返回响应；否则，返回权限不足的错误响应。

5. 刷新JWT

1. JWT 通常具有一定的有效期，在过期之前需要进行刷新以保持用户会话的持续性。
2. 当用户的 JWT 即将过期时，客户端可以发送一个刷新令牌的请求。
3. 后端验证刷新令牌，如果有效，生成一个新的 JWT 并返回给客户端。