JWT和自定义token的差别

**JWT（JSON Web Token）** 和在 API 接口的 Header 中指定一个自定义 Token 之间存在一些关键差别，主要涉及到以下方面：

### JWT：

- **结构化数据**：
  - **JWT** 是一种开放标准（RFC 7519），它将信息进行了结构化的编码，包含了头部、载荷和签名等部分。
  - JWT 包含了自包含的信息，可以存储用户的身份、权限等数据。

- **安全性**：
  - JWT 可以使用签名（HS256、RS256 等）来验证数据的完整性，确保信息不被篡改。
  - JWT 可以加密负载部分，确保敏感信息不被直接暴露。

- **无状态性**：
  - JWT 是无状态的，服务器不需要在内存中维护会话状态，使得它适用于分布式系统和微服务架构。

### 自定义 Token：

- **自定义性**：
  - 在 API 接口的 Header 中指定一个自定义 Token，通常是自己定义的一种认证方式，比如一个随机生成的字符串作为令牌。
 - **结构简单**：
  - 自定义 Token 可能缺乏结构化，通常只是一个简单的标识符，不包含额外的元数据或信息。

- **安全性**：
  - 自定义 Token 的安全性取决于生成方式和传输方式，可能缺乏 JWT 提供的签名验证和加密功能。
  
- **状态性**：
  - 自定义 Token 通常需要服务器端维护与用户相关的状态信息，如会话状态、权限等，增加了服务器的负担。

### 总结差异：

- **数据结构**：
  - JWT 结构化、包含元数据和签名，可携带更多信息。
  - 自定义 Token 可能更简单，仅作为一种标识符。

- **安全性**：
  - JWT 自带签名验证和可选择的加密功能，提供更强的安全性。
  - 自定义 Token 的安全性取决于实现。

- **状态性**：
  - JWT 无状态，适用于无需服务器端会话状态的场景。
  - 自定义 Token 可能需要服务器端维护状态，增加了复杂性。

在实际应用中，选择 JWT 还是自定义 Token 取决于安全需求、数据结构需求以及系统架构等因素。JWT 提供了标准化的认证方案，并具备更强的安全性和灵活性，但需要考虑实现复杂性；而自定义 Token 则可以根据具体需求进行定制，但可能缺乏标准化和一些安全特性。