1、JWT認證協議
jwt是為了在網絡應用環境間傳遞聲明而執行的一種基於json的開放標准。該token被設計緊湊且安全的，特別適用於SSO場景。
jwt的聲明一般被用來在身份提供者和服務提供者之間傳遞被認證的用戶身份信息。
授權服務器將用戶信息和授權范圍序列化后放入一個JSON字符串，然后使用Base64進行編碼，最終在授權服務器用私鑰對這個字符串進行簽名，得到一個JSON Web Token。
假設其他所有的資源服務器都將持有一個RSA公鑰，當資源服務器接收到這個在Http Header中存有Token的請求，資源服務器就可以拿到這個Token，並驗證它是否使用正確的私鑰簽名（是否經過授權服務器簽名，也就是驗簽）。驗簽通過，反序列化后就拿到Toekn中包含的有效驗證信息。
2、JWT的構成
JWT通常由三部分組成，頭信息(header)、消息體(body)、簽名(signature)
頭信息指定了JWT使用的簽名算法
header={alg=HS512}
消息體包含了JWT的意圖，exp為令牌過期時間
body={sub=testUsername, exp=1510886546}
簽名通過私鑰生成
signature=kwq8a_B6WMqHOrEi-gFR5rRPmPL7qoShZJn0VFfXpXc1Yfw6BfVrliAP9C4UnXlqD3wRXO3mw_DDIdglN5lH9Q
3、JWT 的數據結構
實際的 JWT 大概就像下面這樣
它是一個很長的字符串，中間用點（.）分隔成三個部分。注意，JWT 內部是沒有換行的，這里只是為了便於展示，將它寫成了幾行。
JWT 的三個部分依次如下。
Header（頭部）
Payload（負載）
Signature（簽名）
3.1 Header
Header 部分是一個 JSON 對象，描述 JWT 的元數據，通常是下面的樣子。
{
"alg": "HS256",
"typ": "JWT"
}
上面代碼中，alg屬性表示簽名的算法（algorithm），默認是 HMAC SHA256（寫成 HS256）；typ屬性表示這個令牌（token）的類型（type），JWT 令牌統一寫為JWT。
最后，將上面的 JSON 對象使用 Base64URL 算法（詳見后文）轉成字符串。
3.2 Payload
Payload 部分也是一個 JSON 對象，用來存放實際需要傳遞的數據。JWT 規定了7個官方字段，供選用。
iss (issuer)：簽發人
exp (expiration time)：過期時間
sub (subject)：主題
aud (audience)：受眾
nbf (Not Before)：生效時間
iat (Issued At)：簽發時間
jti (JWT ID)：編號
除了官方字段，你還可以在這個部分定義私有字段，下面就是一個例子。
{
"sub": "1234567890",
"name": "John Doe",
"admin": true
}
注意，JWT 默認是不加密的，任何人都可以讀到，所以不要把秘密信息放在這個部分。
這個 JSON 對象也要使用 Base64URL 算法轉成字符串。
3.3 Signature
Signature 部分是對前兩部分的簽名，防止數據篡改。
首先，需要指定一個密鑰（secret）。這個密鑰只有服務器才知道，不能泄露給用戶。然后，使用 Header 里面指定的簽名算法（默認是 HMAC SHA256），按照下面的公式產生簽名。
HMACSHA256(
base64UrlEncode(header) + "." +
base64UrlEncode(payload),
secret)
算出簽名以后，把 Header、Payload、Signature 三個部分拼成一個字符串，每個部分之間用"點"（.）分隔，就可以返回給用戶。
3.4 Base64URL
前面提到，Header 和 Payload 串型化的算法是 Base64URL。這個算法跟 Base64 算法基本類似，但有一些小的不同。
JWT 作為一個令牌（token），有些場合可能會放到 URL（比如 api.example.com/?token=xxx）。Base64 有三個字符+、/和=，在 URL 里面有特殊含義，所以要被替換掉：=被省略、+替換成-，/替換成_ 。這就是 Base64URL 算法。
4、JWT 的使用方式
客戶端收到服務器返回的 JWT，可以儲存在 Cookie 里面，也可以儲存在 localStorage。
此后，客戶端每次與服務器通信，都要帶上這個 JWT。你可以把它放在 Cookie 里面自動發送，但是這樣不能跨域，所以更好的做法是放在 HTTP 請求的頭信息Authorization字段里面。
Authorization: Bearer <token>
另一種做法是，跨域的時候，JWT 就放在 POST 請求的數據體里面。
5、JWT 的幾個特點
（1）JWT 默認是不加密，但也是可以加密的。生成原始 Token 以后，可以用密鑰再加密一次。
（2）JWT 不加密的情況下，不能將秘密數據寫入 JWT。
（3）JWT 不僅可以用於認證，也可以用於交換信息。有效使用 JWT，可以降低服務器查詢數據庫的次數。
（4）JWT 的最大缺點是，由於服務器不保存 session 狀態，因此無法在使用過程中廢止某個 token，或者更改 token 的權限。也就是說，一旦 JWT 簽發了，在到期之前就會始終有效，除非服務器部署額外的邏輯。
（5）JWT 本身包含了認證信息，一旦泄露，任何人都可以獲得該令牌的所有權限。為了減少盜用，JWT 的有效期應該設置得比較短。對於一些比較重要的權限，使用時應該再次對用戶進行認證。
（6）為了減少盜用，JWT 不應該使用 HTTP 協議明碼傳輸，要使用 HTTPS 協議傳輸。
6、java后台代碼示例：
調用方和被調用方，需要存secretKey
通過secretkey和token驗證
