117笔记问答JWT（JSON Web Token）是一种用于身份验证和授权的开放标准（RFC 7519），它是一种轻量级的无状态身份验证机制，用于在客户端和服务器之间传递安全可靠的信息。
JWT的机制原理如下：
-
客户端通过用户名和密码向服务器发送身份验证请求。
-
服务器验证用户的身份信息，并生成一个包含用户信息的JWT。JWT由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。
-
头部包含加密算法和类型信息，通常是使用HMAC SHA256或RSA算法进行签名。
-
载荷包含要传递的用户信息，可以自定义一些标准字段，如过期时间（exp）、发行者（iss）等。
-
签名是使用服务器的私钥对头部和载荷进行签名，确保JWT在传输过程中不被篡改。
-
服务器将生成的JWT返回给客户端。
-
客户端在每次请求中都将JWT放在请求头或参数中发送给服务器。
-
服务器接收到JWT后，使用公钥对JWT进行验证和解析。
-
服务器校验签名是否有效，验证JWT的有效期等信息。
-
服务器根据验证结果决定是否授权用户访问资源。
JWT的优点是简洁、轻量级、可扩展、跨平台和无状态，因为JWT本身包含了用户信息，服务器不需要在数据库中保存会话信息。同时，JWT还可以通过添加自定义字段来扩展功能，例如支持单点登录、跨域资源共享等。