• 有效的標頭（Header）
• 有效負載（Payload）
• 簽名（Signature）
• 因此JWT通常如下所示 xxx.yyy.zzz, Header.Payload.Signature

1. 通常由兩部分組成：令牌的型別（即JWT）和所使用的簽名演算法,例如HMAC,SHA265或RSA，它會使用Base64編碼組成JWT結構的一部分
2. 注意: Base64是一種編碼，也就是說，他是可以被翻譯回原來的樣子的，他並不是一種加密的過程
3. { "alg":"HS365", "typ":"JWT"}　　　　　　　　　　　　　　　　　　　　　　　

1. 令牌的第二部分是有效負載，其中包含宣告，宣告有關實體（通常是指使用者）和其他資料的宣告。同樣的他會使用Base64編碼組成JWT結構的第二部分
2. {"sub":"12334798", "name":"John Doe", "admin":true}

1. 前面兩部分都是使用Base64進行編碼的，即前端可以解開知道里面的資訊，Signature需要使用編碼後的Header和Payload以及我們提供的一個金鑰，然後使用Header中指定的簽名演算法（HS256）進行簽名，沒有被篡改過：
2. 如:
   1. HMACSHA256(base64UrlEncode(header)+"."+base64UrlEncode(payLoad).secret)

1. 最後一步簽名的過程，實際上是對頭部以及負載內容進行簽名，防止內容被篡改,如果有人對頭部以及負載的內容解碼之後進行修改，再進行編碼，最後加上之前的簽名組合成新的JWT的話，那麼伺服器會判斷出新的頭部和負載形成的簽名和JWT附帶上的簽名是不一樣的，如果要對新的頭部和負載進行簽名，在不知道伺服器加密時用的金鑰的話，得出來的簽名也是不一樣的。　
   

1. 在這裡大家一定會問一個問題，：Base64是一種編碼，是可逆的，那麼我的資訊不就暴露了嘛?
   
2. 是的，所以，在JWT中不應該在負載裡面加入任何敏感的資料，在上面的例子中，我們傳輸的是使用者的User ID，這個值實際上不是什麼敏感內容，一般情況下被知道也是安全的，到那時像密碼這樣的內容就不可以放在JWT中了，如果將使用者的密碼放在了JWT中，那麼懷有惡意的第三方通過Base64解碼就能很快地知道你的密碼了，因此JWT適合用於向Web應用傳遞一些非敏感資訊，JWT還經常用於設計使用者認證和授權系統，甚至實現Web應用的單點登入

1 <!--引入jwt-->
2 <dependency>
3     <groupId>com.auth0</groupId>
4     <artifactId>java-jwt</artifactId>
5     <version>3.4.0</version>
6 </dependency>

 1 Calendar instance = Calendar.getInstance();
 2 Calendar instance = Calendar.getInstance();
 3 instance.add(Calendar.SECOND, 60);
 4 String token = JWT.create()
 5         .withHeader(map)
 6         .withClaim("userId", 60)
 7         .withClaim("username", "xiao")
 8         .withExpiresAt(instance.getTime())
 9         .sign(Algorithm.HMAC256("!@Qw#$R"));// 簽名System.out.println(token);
10 生成結果
11     eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2MDY4OTY1MzIsInVzZXJJZCI6NjAsInVzZXJuYW1lIjoieGlhbyJ9.eblcFVkLQuE-TQTuWgqYpI-GOLOZthZ4_fZBB6XR2nA

1 JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256("!@Qw#$R")).build();
2 DecodedJWT verify = jwtVerifier.verify("eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2MDY4OTY1MzIsInVzZXJJZCI6NjAsInVzZXJuYW1lIjoieGlhbyJ9.eblcFVkLQuE-TQTuWgqYpI-GOLOZthZ4_fZBB6XR2nA"); 
3 System.out.println(verify.getClaim("userId").asInt()); 
4 System.out.println(verify.getClaim("username").asString()); 5 System.out.println(verify.getExpiresAt());

 1 package com.example.utils;
 2 import com.auth0.jwt.JWT;
 3 import com.auth0.jwt.JWTCreator;
 4 import com.auth0.jwt.algorithms.Algorithm;
 5 import com.auth0.jwt.interfaces.DecodedJWT;
 6 import java.util.Calendar;
 7 import java.util.Map;
 8 /** * @Author: LiuLi * @Description: * @Date: Create in 16:21 2020/12/2 */
 9 public class JWTUtils {
10 private static final String SING = "!Q@W3142%^TY";
11 /**     * 生成token  header.payload.sing     */   
12  public static String getToken(Map<String, String> map) {
13         Calendar instance = Calendar.getInstance();
14         instance.add(Calendar.DATE, 7); // 預設是7天的時間        // 建立 JWT builder        JWTCreator.Builder builder = JWT.create();
15         map.forEach((k, v) -> {
16 builder.withClaim(k, v);
17         });
18         String token = builder
19                 .withExpiresAt(instance.getTime()) // 指定令牌的過期時間                .sign(Algorithm.HMAC256(SING));// 簽名        return token;
20     }
21 /**     * 驗證token的合法性     */   
22  public static void verify(String token) {
23         JWT.require(Algorithm.HMAC256(SING)).build().verify(token);
24     }
25 /**     * 獲取token的方法     */   
26  public static DecodedJWT getTokenInfo(String token) {
27         DecodedJWT verify = JWT.require(Algorithm.HMAC256(SING)).build().verify(token);
28 return verify;
29     }
30 }