聊聊 JSON Web Token (JWT) 和 jwcrypto 的使用

哈喽大家好，我是咸鱼。

最近写的一个 Python 项目用到了 jwcrypto 这个库，这个库是专门用来处理 JWT 的，JWT 全称是 JSON Web Token ，JSON 格式的 Token。

今天就来简单入门一下 JWT。

官方介绍：https://jwt.io/introduction

先聊聊 Token

Token 的意思是令牌，通常用于身份验证。

例如，当客户端首次登录服务器时，服务器会生成一个 Token 并返回给客户端。此后，客户端只需在请求数据时带上这个 Token，无需再次提供用户名和密码。

为什么要有 Token ？

我们知道 HTTP 请求是无状态的，也就是说服务器无法识别每个请求的发起者（例如，我登录淘宝网后刷新页面，会要求我重新输入用户名和密码进行登录）。

为了解决这个问题，出现了一种解决方案：即服务器为每个客户端分配一个 session。当客户端发起请求时带上这个 session，服务器就能识别请求的发起者。

然而，这种方法很快暴露了一些弊端。首先是开销问题。服务器需要保存所有客户端的 session，如果访问的客户端数量增加，服务器将需要保存成千上万个 session，带来巨大的存储开销。

其次是跨域问题。例如，在集群架构中有两台服务器 A 和 B。如果咸鱼第一次请求到了 A 服务器，A 服务器保存了咸鱼的 session，但如果下一次请求被分配到 B 服务器，B 服务器上没有咸鱼的 session，该怎么办？

一种解决方案是使用 session 粘滞（session sticky）方法，使咸鱼的每次请求都打到同一个服务器（如 A 服务器）。但如果 A 服务器宕机了，请求就不得不转到 B 服务器，依然无法解决问题。

于是，有人提出了另一种思路：为什么要让服务器保存 session 呢？可以让每个客户端自己保存！服务器只负责生成 session，不负责保存。

但是，如果不保存 session，如何区分客户端？又如何验证 session 是服务器生成的呢？

这时，人们想到了让服务器生成一个 token。这个 token 是通过服务器独有的密钥和算法（例如 RS256 算法）生成的，并且服务器不会保存这个 token