JWT+HA256验证
实施 Token 验证的方法挺多的，还有一些标准方法，比如 JWT，读作：jot ，表示：JSON Web Tokens 。JWT 标准的 Token 有三个部分：
- header
- payload
- signature
中间用点分隔开，并且都会使用 Base64 编码，所以真正的 Token 看起来像这样：
2
2
Header
header 部分主要是两部分内容，一个是 Token 的类型，另一个是使用的算法，比如下面类型就是 JWT，使用的算法是 HS256。
| 1 2 3 4 5 | { "typ": "JWT", "alg": "HS256" }<br><br> |
1 | 1 |
上面的内容要用 Base64 的形式编码一下，所以就变成这样：
2
2
Payload
Payload 里面是 Token 的具体内容，这些内容里面有一些是标准字段，你也可以添加其它需要的内容。下面是标准字段：
iss：Issuer，发行者
sub：Subject，主题
aud：Audience，观众
exp：Expiration time，过期时间
nbf：Not before
iat：Issued at，发行时间
jti：JWT ID
比如下面这个 Payload ，用到了 iss 发行人，还有 exp 过期时间。另外还有两个自定义的字段，一个是 name ，还有一个是 admin 。
| 1 2 3 4 5 6 7 8 9 10 11 | { "iss": "ninghao.net", "exp": "1438955445", "name": "wanghao", "admin": true } |
1 | 1 |
使用 Base64 编码以后就变成了这个样子：
2
2
Signature
JWT 的最后一部分是 Signature ，这部分内容有三个部分，先是用 Base64 编码的 header.payload ，再用加密算法加密一下，加密的时候要放进去一个 Secret ，这个相当于是一个密码，这个密码秘密地存储在服务端。
header
payload
secret
| 1 2 | var encodedString = base64UrlEncode(header) + "." + base64UrlEncode(payload); HMACSHA256(encodedString, 'secret'); |
1 | 1 |
处理完成以后看起来像这样：
2
2
最后这个在服务端生成并且要发送给客户端的 Token 看起来像这样：
2
2
客户端收到这个 Token 以后把它存储下来，下回向服务端发送请求的时候就带着这个 Token 。服务端收到这个 Token ，然后进行验证，通过以后就会返回给客户端想要的资源。
