前不久研究websocket时发现port-swigger出了新的靶场，一看，发现是关于jwt安全的，刚好来总结回忆一下JWT简介Json web token (JWT)，是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（RFC 7519）RFC 7519:htt
同样也是由于Token的无状态性质，也导致了它最大的缺点就是，后端在一个Token的有效期内删除了Token或者是修改了其权限，那么这个删除操作或者是权限修改操作是无法立即生效，一般需要重新授权，或者是等到有效期过了之后才会生效。
整个 jwt 串会被置于 http 的 Header 或者 url 中，为了不出现乱码解析错误等意外，编码是有必要的。这位兄弟认为 jwt 太长了，是不是可以考虑使用和 oauth2 一样的 uuid 来映射。
用户想要用某款APP就必须给她一些权限，这就叫授权，然而授权这种行为一般在指定时间只会触发一次，因为多了，会影响用户体验度，这个时候就出现了凭证，也就是我们经常说的cookie session token jwt oauth2等，下面我们一一说明。
WT 相信很多小伙伴都知道，JSON Web Token，如果在项目中通过 jjwt 来支持 JWT 的话，可能只需要了解 JWT 一个概念即可，但是现在很多时候我们可能不是使用 jjwt，而是选择 nimbus-jose-jwt 库，此时就有可能接触到一些新的概念，如 JWE、JWS。
因为我们不能通过http协议知道是哪个用户发出的请求，所以如果要知道是哪个用户发出的请求，那就需要在服务器保存一份用户信息，然后在认证成功后返回cookie值传递给浏览器，那么用户在下一次请求时就可以带上cookie值，服务器就可以识别是哪个用户发送的请求，是否已认证，是否登录过期等等。
为什么很多人不推荐你用JWT?如果你经常看一些网上的带你做项目的教程，你就会发现 有很多的项目都用到了JWT。那么他到底安全吗？为什么那么多人不推荐你去使用。这个文章将会从全方面的带你了解JWT 以及他的优缺点。什么是JWT?
调用第三方接口在很多系统中都很常见，不管是调用本公司其他业务平台的接口，还是调用三方公司的接口，都需要一定的规范，否则系统容错性会较差，而且出问题的时候不利于问题排查，也可能会造成双方互相推卸责任的情况，大公司很容易出现这种扯皮的问题。
