JSON Web Token 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（RFC7519）。JWT定义了一种简洁的，自包含的方法用于通信双方之间以JSON对象的形式安全地传递信息。因为数字签名的存在，这些信息是可信的，JWT可以使用HMAC算法或者是RSA的公私秘钥对进行签名。
JWT组成
Header头部
头部包含了两部分，token类型和采用的加密算法，它会使用base64编码组成JWT结构的第一部分
base64enc({
"alg":"HS256",
"typ":"JWT"
})
Payload负载
这部分就是我们存放信息的地方了，你可以把用户ID等信息放在这里，JWT规范里面对这部分有进行了比较详细的介绍，常用的由iss（签发者），exp（过期时间），sub（面向的用户），aud（接收方），iat（签发时间）。它会使用base64编码组成JWT结构的第二部分。
base64enc({
"iss":"toptal.com",
"exp":"1426420800",
"company":"Toptal",
"awesome":true
})
Signature签名
前面两部分都是使用base64进行编码的，即前端可以解开知道里面的信息。Signature需要使用编码后的header和payload以及我们提供的一个密钥，然后使用header中指定的签名算法（HS256）进行签名。签名的作用是保证JWT没有被篡改过。
三个部分通过点（.）连接在一起就成为JWT，如下：
`eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9`.`eyJpZCI6IjU3ZmVmMTY0ZTU0YWY2NGZmYzUzZGJkNSIsInhzcmYiOiI0ZWE1YzUwOGE2NTY2ZTc2MjQwNTQzZjhmZWIwNmZkNDU3Nzc3YmUzOTU0OWM0MDE2NDM2YWZkYTY1ZDIzMzBlIiwiaWF0IjoxNDc2NDI3OTMzfQ`.`PA3QjeyZSUh7H0GfE0vJaKW4LjKJuC3dVLQiY4hii8s
签名的目的
最后一步签名的过程，实际上是对头部以及负载内容进行签名，防止内容被窜改。如果有人对头部以及负载的内容解码之后进行修改，再进行编码，最后加上之前的签名组合形成新的JWT的话，那么服务器端会判断出新的头部和负载形成的签名和JWT附带上的签名是不一样的。如果要对新的头部和负载进行签名，在不知道服务器加密时用的密钥的话，得到的签名也不一样。
为什么使用JWT
传统的token认证
资源服务器授权流程如上图，客户端先去授权服务器申请令牌，申请令牌后，携带令牌访问资源服务器，资源服务器访问授权服务校验令牌的合法性，授权服务会返回校验结果，如果校验成功会返回用户信息给资源服务器，资源服务器如果接收到的校验结果通过了，则返回资源给客户端。
传统授权方法的问题是用户每次请求资源服务，资源服务都需要携带令牌访问认证服务去校验令牌的合法性，并根据令牌获取用户的相关信息，性能低下。
JWT认证
传统的授权模式性能低下，每次都需要请求授权服务校验令牌合法性，我们可以利用公钥私钥完成对令牌的加密，如果加密解密成功，则表示令牌合法，如果加密解密失败，则表示令牌无效不合法，合法则允许访问资源服务器的资源，解密失败，则不允许访问资源服务器资源。
Credit: 刘雪松老师的讲义。
