JSON Web Token（JWT）是一个轻量级的认证规范，它允许用户和服务器之间传递安全可靠的信息。

在传统的WEB应用中，服务端成功的返回一个响应于两件事。其一是通过一种存储机制保存会话信息（SESSION）。每一个会话都有它独特的信息，常常是一个长的，随机化的字符串，它被用来让未来的请求检索信息。其次，包含在响应头里面的信息使客户端保存了一个COOKIE。服务器自动的在每个子请求里面加上了会话ID，这使得服务器可以通过检索SESSION中的信息来辨别用户。
API应该被设计成无状态的。这意味着没有登录，注销的方法，也没有SESSION和COOKIE。因此，我们引入JWT。

使用jwt进行认证和授权

认证

客户端向服务器发送用于登录的用户名和密码，服务器将用户名和密码和数据库比对成功后，将一条形如

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

的token返回给客户端，客户端应在本地存储这个token。
这条token被.分为三个部分：头部(Header)，载荷(Payload)和签名(Signature)。其中头部的alg和typ两个字段定义了此token所使用的加密算法和token类型；载荷中包含有认证用户的信息；签名则将头部和载荷以及key用base64编码后计算SHA256。