* 传统token方式

    用户登录成功后，服务端生成一个随机的token给用户，并且在服务端（数据库或缓存）中保存一份token，以后用户再来访问时需要携带token，服务端接收到token之后，去数据库或缓存中进行校验token的是否超时、是否合法

* jwt方式

    用户登录成功后，服务端通过jwt生成一个随机token给用户（服务端无需保留token，以json加密的形式保存在客户端），以后用户再来访问时需要携带token，服务端接收到token之后，通过jwt对token进行校验是否超时、是否合法。

• Authorization (授权) : 这是使用JWT的最常见场景。一旦用户登录，后续每个请求都将包含JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是现在广泛使用的JWT的一个特性，因为它的开销很小，并且可以轻松地跨域使用。
• Information Exchange (信息交换) : 对于安全的在各方之间传输信息而言，JSON Web Tokens无疑是一种很好的方式。因为JWTs可以被签名，例如，用公钥/私钥对，你可以确定发送人就是它们所说的那个人。另外，由于签名是使用头和有效负载计算的，您还可以验证内容没有被篡改。

• Header 头部(标题包含了令牌的元数据，并且包含签名和/或加密算法的类型)
• Payload 负载 (类似于飞机上承载的物品)
• Signature 签名/签证

5.1、Header

import base64
import json
a = {
    "alg": "HS256",
    "typ": "JWT"
}
b = json.dumps(a)
print(base64.b64encode(b.encode("utf-8")))  #  b'eyJhbGciOiAiSFMyNTYiLCAidHlwIjogIkpXVCJ9'

5.2、Payload

# -*- coding:utf-8 -*-
import time
import jwt

# headers
headers = {
    'alg': "HS256",  # 声明所使用的算法
}
"""headers 中一些固定参数名称的意义
jku: 发送JWK的地址；最好用HTTPS来传输
jwk: 就是之前说的JWK
kid: jwk的ID编号
x5u: 指向一组X509公共证书的URL
x5c: X509证书链
x5t：X509证书的SHA-1指纹
x5t#S256: X509证书的SHA-256指纹
typ: 在原本未加密的JWT的基础上增加了 JOSE 和 JOSE+ JSON。JOSE序列化后文会说及。适用于JOSE标头的对象与此JWT混合的情况。
crit: 字符串数组，包含声明的名称，用作实现定义的扩展，必须由 this->JWT的解析器处理。不常见。
"""

# payload
payload = {
    'iat': time.time(),  # 时间戳　　
    'name': 'lowman'     # 自定义的参数
}
"""payload 中一些固定参数名称的意义, 同时可以在payload中自定义参数
iss  【issuer】发布者的url地址
sub  【subject】该JWT所面向的用户，用于处理特定应用，不是常用的字段
aud  【audience】接受者的url地址
exp  【expiration】 该jwt销毁的时间；unix时间戳
nbf  【not before】 该jwt的使用时间不能早于该时间；unix时间戳
iat  【issued at】 该jwt的发布时间；unix 时间戳
jti  【JWT ID】 该jwt的唯一ID编号
"""

# 调用jwt库,生成json web token
jwt_token = jwt.encode(payload=payload,               # payload, 有效载体
                       key="zhananbudanchou1234678",  # 进行加密签名的密钥
                       algorithm="HS256",             # 指明签名算法方式, 默认也是HS256
                       headers=headers                # json web token 数据结构包含两部分, payload(有效载体), headers(标头)
                       )
print(jwt_token)  # eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpYXQiOjE2MDk3NDM4NDYuODU5MDk3NywibmFtZSI6Imxvd21hbiJ9.iKn50jTUqkx4mwY-iRcLQka_t0XUPDQkkr2x5wXiDDg

# -*- coding:utf-8 -*-
import jwt
jwt_token = "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpYXQiOjE2MDk3NDM4NDYuODU5MDk3NywibmFtZSI6Imxvd21hbiJ9.iKn50jTUqkx4mwY-iRcLQka_t0XUPDQkkr2x5wXiDDg"
data = None
try:
    #  需要解析的 jwt   密钥    使用和加密时相同的算法
    data = jwt.decode(jwt_token, "zhananbudanchou1234678", algorithms=['HS256'])
except Exception as e:
    # 如果 jwt 被篡改过; 或者算法不正确; 如果设置有效时间, 过了有效期; 或者密钥不相同; 都会抛出相应的异常
    print(e)

# 解析出来的就是 payload 内的数据
print(data)  # {'iat': 1609743846.8590977, 'name': 'lowman'}

七、参考