JWT认证

项目开发过程中，用户认证是必然要解决的问题。相比于传统方法使用 session 认证，Light 推荐使用 token 的方式。

下面介绍一种流行的跨域认证方案—— JSON Web Token。服务器不保存 session 数据，所有数据都保存在客户端，每次请求都发回服务器。

JWT 的原理

JWT 的原理是，服务器认证以后，生成一个 JSON 对象，发回给用户，例如：

{
  "姓名": “Zhangsan",
  "角色": “admin",
  "到期时间": “2020年1月1日0点0分"
}

以后，用户与服务端通信的时候，都要发回这个 JSON 对象。服务器完全只靠这个对象认定用户身份。为了防止用户篡改数据，服务器在生成这个对象的时候，会加上签名。服务器就不保存任何 session 数据了，也就是说，服务器变成无状态了，从而比较容易实现扩展。
JWT 可以通过URL, POST 参数或者在 HTTP header 发送，因为数据量小，传输速度快。

JWT

  1. 首先，前端通过Web表单将自己的用户名和密码发送到后端的接口。这一过程一般是一个HTTP POST请求。建议的方式是通过SSL加密的传输（https协议），从而避免敏感信息被嗅探。
  2. 后端核对用户名和密码成功后，将用户的id等其他信息作为JWT Payload（负载），将其与头部分别进行Base64编码拼接后签名，形成一个JWT。形成的JWT就是一个形同lll.zzz.xxx的字符串。
  3. 后端将JWT字符串作为登录成功的返回结果返回给前端。前端可以将返回的结果保存在localStorage或sessionStorage上，退出登录时前端删除保存的JWT即可。
  4. 前端在每次请求时将JWT放入HTTP Header中的Authorization位(解决XSS和XSRF问题)。
  5. 后端检查是否存在，如存在验证JWT的有效性。例如，检查签名是否正确；检查Token是否过期；检查Token的接收方是否是自己（可选）。
  6. 验证通过后后端使用JWT中包含的用户信息进行其他逻辑操作，返回相应结果。