JWT
JSON Web Token(JWT)跨域身份验证解决方案
跨域身份验证
身份验证的过程如下：
- 用户向服务器发送用户名和密码
- 验证服务器后，相关的数据如用户角色，登录时间等会保存在当前会话中
- 服务器向用户返回session_id,session信息都会写入到用户的Cookie中
- 用户的每一个后续请求都会通过在Cookie中取得session_id传给服务器
- 服务器收到session_id并与之前保存的数据进行对比，确认用户的身份
这样只能够在单一服务器上使用。
单点登录需求：站点A和站点B提供相关的服务，用户登录其中一个站点，就会自动登录另一个站点
一种实现方式是将session持久化，收到请求后验证服务从持久层拿数据来处理
另一种实现方式：服务器不保存会话数据，而是通过客户端保存数据，每个请求都会发送回服务器，如JWT
JWT的原则
JWT的原则是在服务器身份验证后，生成一个JSON对象并发送给用户，如下所示：
{ "UserName": "Chongchong", "Role": "Admin", "Expire": "2018-08-08 20:15:56" }
之后当用户再与服务器通信时，会在请求中发回这个JSON对象，服务器依赖这个JSON对象来标识用户。为了防止用户篡改数据，服务器在生成对象时还会添加签名。这样服务器不用保存任何会话数据变成无状态的。
JWT数据结构
JWT对象是一个很长的字符串，字符间通过“.”分隔符分割为3个子串，三部分分别为JWT头，有效载荷和签名
JWT头
JWT头是一个描述JWT元数据的JSON对象，表示如下
{ "alg": "HS256", "typ": "JWT" }
alg属性表示签名使用的算法，typ属性表示令牌的类型，最后使用Base64URL算法将该JSON对象转换为字符串保存
有效载荷
有效载荷是JWT的主体部分，也是一个JSON对象，包含要传递的数据，有七个默认字段供选择
iss：发行人
exp：到期时间
sub：主题
aud：用户
nbf：在此之前不可用
iat：发布时间
jti：JWT ID用于标识该JWT
也可以自定义字段，JWT默认情况是未加密的。该对象也用Base64 URL算法转换为字符串保存
签名哈希
签名哈希是对上面两个部分的签名，通过指定的算法生成哈希，来确保数据不会被篡改，要指定一个密码，仅仅保存在服务器中，不向用户公开，HMACSHA256签名算法的公式
HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload),secret)
Base64URL算法
JWT令牌可以放在URL中，由于"+","/","="在URL中有特殊含义，所以Base64URL中对它们进行了替换，"="去掉，"+"用"-"替换，"/"用"_"替换
JWT的用法
客户端在接收服务器返回的JWT后，将其存储在Cookie或loclStorage中，之后，客户端与服务器交互都会带JWT，如果JWT存储在Cookie中就能自动发送但是不会跨域，因此一般将其放在HTTP请求的Header Authorization字段中。也可以将其放置在Post请求中。
