node.js - JWT 令牌是如何认证的？

Question

这让我很困惑：

• 因此，当用户登录时，他们会被授予带有签名的 JWT 令牌。此签名发生在 header+Payload+secret

• 现在用户有了一个令牌，他们可以访问受保护的资源。

• JWT 如何知道令牌是有效的？由于在此流程中服务器上没有存储任何内容，如何与签名进行比较？如果我使用 JWT 调试器，我可以创建一个同样有效的令牌。那么这部分是如何工作的呢？

最后一点让我很困惑。我到处都看到“检查签名”，但没有人详细解释它。

标签： node.jsapisecurityoauthjwt

Answer 1

JWT 基于服务器拥有的密钥创建客户端令牌。JWT 的设计方式是在没有服务器拥有的密钥的情况下无法生成客户端令牌，因此每个密钥都是安全的，密钥始终是安全的。此外，服务器使用密钥来验证客户端令牌是否有效，并且只有该密钥才能验证它。