jwt - JSON Web Token Based 身份验证如何无状态？

Question

在 API 中，jwt.sign 将创建一个密钥并与响应一起发送，比如说登录时。因此，当客户端发出另一个请求时，API/Server 使用 jwt.verify 来检查登录的用户是否真实。这里要验证密钥，服务器也要存储一样的吧？那么它怎么可能是无国籍的呢？

我很困惑，在这种情况下可能是错误的，但请多多指教。

标签： jwt

Answer 1

jwt.sign创建一个签名令牌，其中签名是使用令牌内容和密钥计算的哈希值。密钥是固定的。签名的令牌被发送给请求它的客户端。当客户端发送在授权头中包含令牌的请求时，将通过再次计算哈希来验证令牌。无需在任何地方存储令牌或签名。