1.（三）Vue实用框架-Ruoyi（token的获取）
2.jwt和token区别？
3.nuxt asyncData并发请求JWT token 错乱问题
4.OAuth2.0实战！使用JWT令牌认证！
5.第4课：Spring Security Oauth2整合JWT
6.JWT令牌详解

（三）Vue实用框架-Ruoyi（token的获取）

       Vue实用框架-Ruoyi（token的获取）

       在Vue前端开发中，特别是基于ruoyi的前后端分离项目，理解token验证和权限渲染的实现至关重要。由于该框架基于vue-element-admin进行改造，棋牌源码小白首先推荐熟悉这个框架的详细文档。

       在项目代码中，频繁出现Promise，它是ES6中的异步处理工具，用于解决回调地狱的问题。在main.js中，它是项目入口，加载公共组件并初始化实例。路由管理在router目录下的index.js和permission.js中，permission.js负责权限拦截，确保只有拥有权限的oner源码用户才能访问相关页面。

       登录时，如果遇到超时重定向，会通过query参数保存登录状态。在handleLogin方法中，调用自定义的Login函数，通过store模块进行登录验证并记录token。store的使用规则明确，如缓存和接口操作分开。

       登录成功后，会调用getToken()方法从cookie中获取token，随后在user.js中处理，将token用于获取用户权限并动态生成路由。整个流程清晰，通过权限拦截确保用户只能访问允许的页面。

       在后端验证token时，查看/login接口的epg 源码login()方法，核心是调用createToken()函数生成包含用户信息的JWT令牌。

jwt和token区别？

       JWT令牌详解

       JWT是JSONWebToken的缩写,是一个轻巧的规范,一个开放的行业标准,它定义了一种简洁的、自包含的协议格式,这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的消息.

       ä¸€ä¸ªJWT实际上就是一个字符串,它由三部分组成,头部、荷载与签名

       å¤´éƒ¨æè¿°å…³äºŽè¯¥JWT的最基本的信息,例如其类型以及签名所用的算法等

       ä¾‹å¦‚{ "type":"JWT","alg":"HS"}

       å…¶å¤´éƒ¨æŒ‡æ˜Žäº†ç­¾åç®—法是HS算法

       HMAC算法(非对称的)

       SH

       RSA

       è·è½½å°±æ˜¯å­˜æ”¾æœ‰æ•ˆä¿¡æ¯çš„地方

       å®šä¹‰ä¸€ä¸ªpayload:{ "sub":"","name":"JohnDoe","admin":true}

       ç­¾è¯åˆç”±ä¸‰éƒ¨åˆ†ç»„成,base加密后的header和base加密后的payload使用,连接组成的字符串

       ç„¶åŽé€šè¿‡header中声明的加密方式进行加盐secret组合加密.

       1、jwt基于json,非常方便解析

       2、可以在令牌中自定义丰富的内容,易扩张

       3、通过非对称加密算法以及数字签名技术,JWT防止篡改,安全性高

       4、资源服务使用JWT可不依赖认证服务即可完成授权

       JWT令牌较长,占存储空间比较大.

       ä¸€ä¸ªå…¬é’¥å¯¹åº”一个私钥,私钥作为签名给JWT加密,那么这里需要生成与之对应的公钥:

       è¾“入密钥库口令:?keytool-list-keystorechanggou.jks

       æ˜¾ç¤ºçš„信息为:

       å¯†é’¥åº“类型:jks

       å¯†é’¥åº“提供方:SUN

       æ‚¨çš„密钥库包含1个条目

       changgou,-7-,PrivateKeyEntry,

       è¯ä¹¦æŒ‡çº¹(SHA1)::2E::8B::::8C:AF:::5F:4F:D6::::::

       è¾“入命令后就可以得到公钥:

       æ³¨é‡Š:classPathResource:私钥位置;

       newKeyStoreKeyFactory:创建私钥工厂,需要私钥库密码和私钥位置两个参数;

       keyStoreKeyFactory.getKeyPair(alias,password.toCharArray):获取keyPair对象,keyPair.getPrivate()即是获取私钥;

       æ ¹æ®ç§é’¥èŽ·å–令牌:JwtHelper.encode(JSON.toJSONString(map,newRsaSigner(rsaPrivateKey));

来，科普一下JWT

       1.JSONWebToken是什么

       JSONWebToken(JWT)是一个开放标准(RFC)，它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。

       2.什么时候你应该用JSONWebTokens

       ä¸‹åˆ—场景中使用JSONWebToken是很有用的：

       Authorization(授权):这是使用JWT的最常见场景。一旦用户登录，后续每个请求都将包含JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是现在广泛使用的JWT的一个特性，因为它的开销很小，并且可以轻松地跨域使用。

       InformationExchange(信息交换):对于安全的在各方之间传输信息而言，JSONWebTokens无疑是一种很好的方式。因为JWTs可以被签名，例如，用公钥/私钥对，你可以确定发送人就是它们所说的那个人。另外，由于签名是使用头和有效负载计算的，您还可以验证内容没有被篡改。

       3.JSONWebToken的结构是什么样的

       JSONWebToken由三部分组成，它们之间用圆点(.)连接。这三部分分别是：

       å› æ­¤ï¼Œä¸€ä¸ªå…¸åž‹çš„JWT看起来是这个样子的：

       æŽ¥ä¸‹æ¥ï¼Œå…·ä½“看一下每一部分：

       Header

       header典型的由两部分组成：token的类型（“JWT”）和算法名称（比如：HMACSHA或者RSA等等）。

       ä¾‹å¦‚：

       ç„¶åŽï¼Œç”¨Base对这个JSON编码就得到JWT的第一部分

       Payload

       Publicclaims:可以随意定义。

       ä¸‹é¢æ˜¯ä¸€ä¸ªä¾‹å­ï¼š

       å¯¹payload进行Base编码就得到JWT的第二部分

       Signature

       ä¸ºäº†å¾—到签名部分，你必须有编码过的header、编码过的payload、一个秘钥，签名算法是header中指定的那个，然对它们签名即可。

       ä¾‹å¦‚：

       ç­¾åæ˜¯ç”¨äºŽéªŒè¯æ¶ˆæ¯åœ¨ä¼ é€’过程中有没有被更改，并且，对于使用私钥签名的token，它还可以验证JWT的发送方是否为它所称的发送方。

       çœ‹ä¸€å¼ å®˜ç½‘的图就明白了：

       4.JSONWebTokens是如何工作的

       åœ¨è®¤è¯çš„时候，当用户用他们的凭证成功登录以后，一个JSONWebToken将会被返回。此后，token就是用户凭证了，你必须非常小心以防止出现安全问题。一般而言，你保存令牌的时候不应该超过你所需要它的时间。

       æ— è®ºä½•æ—¶ç”¨æˆ·æƒ³è¦è®¿é—®å—保护的路由或者资源的时候，用户代理（通常是浏览器）都应该带上JWT，典型的，通常放在Authorizationheader中，用Bearerschema。

       header应该看起来是这样的：

       æœåŠ¡å™¨ä¸Šçš„受保护的路由将会检查Authorizationheader中的JWT是否有效，如果有效，则用户可以访问受保护的资源。如果JWT包含足够多的必需的数据，那么就可以减少对某些操作的数据库查询的需要，尽管可能并不总是如此。

       å¦‚æžœtoken是在授权头（Authorizationheader）中发送的，那么跨源资源共享(CORS)将不会成为问题，因为它不使用cookie。

       ä¸‹é¢è¿™å¼ å›¾æ˜¾ç¤ºäº†å¦‚何获取JWT以及使用它来访问APIs或者资源：

       5.基于Token的身份认证与基于服务器的身份认证

       5.1.基于服务器的身份认证

       åœ¨è®¨è®ºåŸºäºŽToken的身份认证是如何工作的以及它的好处之前，我们先来看一下以前我们是怎么做的：

       HTTP协议是无状态的，也就是说，如果我们已经认证了一个用户，那么他下一次请求的时候，服务器不知道我是谁，我们必须再次认证

       ä¼ ç»Ÿçš„做法是将已经认证过的用户信息存储在服务器上，比如Session。用户下次请求的时候带着SessionID，然后服务器以此检查用户是否认证过。

       è¿™ç§åŸºäºŽæœåŠ¡å™¨çš„身份认证方式存在一些问题：

       Sessions:每次用户认证通过以后，服务器需要创建一条记录保存用户信息，通常是在内存中，随着认证通过的用户越来越多，服务器的在这里的开销就会越来越大。

       Scalability:由于Session是在内存中的，这就带来一些扩展性的问题。

       CORS:当我们想要扩展我们的应用，让我们的数据被多个移动设备使用时，我们必须考虑跨资源共享问题。当使用AJAX调用从另一个域名下获取资源时，我们可能会遇到禁止请求的问题。

       CSRF:用户很容易受到CSRF攻击。

       5.2.JWT与Session的差异

       ç›¸åŒç‚¹æ˜¯ï¼Œå®ƒä»¬éƒ½æ˜¯å­˜å‚¨ç”¨æˆ·ä¿¡æ¯ï¼›ç„¶è€Œï¼ŒSession是在服务器端的，而JWT是在客户端的。

       Session方式存储用户信息的最大问题在于要占用大量服务器内存，增加服务器的开销。

       è€ŒJWT方式将用户状态分散到了客户端中，可以明显减轻服务端的内存压力。

       Session的状态是存储在服务器端，客户端只有sessionid；而Token的状态是存储在客户端。

       5.3.基于Token的身份认证是如何工作的

       åŸºäºŽToken的身份认证是无状态的，服务器或者Session中不会存储任何用户信息。

       è™½ç„¶è¿™ä¸€å®žçŽ°å¯èƒ½ä¼šæœ‰æ‰€ä¸åŒï¼Œä½†å…¶ä¸»è¦æµç¨‹å¦‚下：

       æ³¨æ„ï¼š

       5.4.用Token的好处

       æ— çŠ¶æ€å’Œå¯æ‰©å±•æ€§ï¼šTokens存储在客户端。完全无状态，可扩展。我们的负载均衡器可以将用户传递到任意服务器，因为在任何地方都没有状态或会话信息。

       å®‰å…¨ï¼šToken不是Cookie。（Thetoken,notacookie.）每次请求的时候Token都会被发送。而且，由于没有Cookie被发送，还有助于防止CSRF攻击。即使在你的实现中将token存储到客户端的Cookie中，这个Cookie也只是一种存储机制，而非身份认证机制。没有基于会话的信息可以操作，因为我们没有会话!

       è¿˜æœ‰ä¸€ç‚¹ï¼Œtoken在一段时间以后会过期，这个时候用户需要重新登录。这有助于我们保持安全。还有一个概念叫token撤销，它允许我们根据相同的授权许可使特定的token甚至一组token无效。

       5.5.JWT与OAuth的区别

       å†™åœ¨æœ€åŽï¼šæˆ‘为大家准备了一些适合于1－5年以上开发经验的java程序员面试涉及到的绝大部分面试题及答案做成了文档和学习笔记文件以及架构视频资料免费分享给大家（包括Dubbo、Redis、Netty、zookeeper、Springcloud、分布式、高并发等架构技术资料），希望可以帮助到大家。

jwt有什么用

       JWT是JSONWEBTOKEN的缩写，它是基于RFC标准定义的一种可以安全传输的的JSON对象，由于使用了数字签名，所以是可信任和安全的。

       JWTtoken的格式：header.payload.signature

       header中用于存放签名的生成算法

       { "alg":"HS"}CopytoclipboardErrorCopied

       payload中用于存放用户名、token的生成时间和过期时间

       { "sub":"admin","created":,"exp":}CopytoclipboardErrorCopied

       signature为以header和payload生成的签名，一旦header和payload被篡改，验证将失败

       //secret为加密算法的密钥Stringsignature=HMACSHA(baseUrlEncode(header)+"."+baseUrlEncode(payload),secret)

       JWT与Session的比较

       å¦‚今，越来越多的项目开始采用JWT作为认证授权机制，那么它和之前的Session究竟有什么区别呢？今天就让我们来了解一下。

       JWT是什么

       å®šä¹‰

       ç‰¹ç‚¹

       ä½¿ç”¨JWT来传输数据，实际上传输的是一个字符串，这个字符串就是所谓的jsonwebtoken字符串。所以广义上，JWT是一个标准的名称；狭义上，JWT指的就是用来传递的那个token字符串。这个串有两个特点：

       ç»“æž„

       å®ƒç”±ä¸‰éƒ¨åˆ†ç»„成：header（头部）、payload（载荷）、signature（签名），以.进行分割。（这个字符串本来是只有一行的，此处分成3行，只是为了区分其结构）

       å’ŒSession的区别

       ä¸ºä»€ä¹ˆæˆ‘们要把JWT和Session做对比呢？因为我们主要在每一次请求的认证时会用JWT，在此之前我们都是用Session的。那这两者的区别在哪儿呢？

       æœ¬èº«çš„含义

       çœ‹äº†å‰é¢çš„介绍，我们发现JWT这个字符串其实本身就包含了关于用户的信息，比如用户名、权限、角色等。

       Session传递的sessionId虽然是一个更简单的字符串，但它本身并没有任何含义。

       æ‰€ä»¥ä¸€èˆ¬è¯´æ¥JWT的字符串要比sessionId长，如果你在JWT中存储的信息越长，那么JWT本身也会越长。

       è€ŒCookie的存储容量是有限制的（通常为4KB），所以大家在使用的时候需要注意。

       è§£æžæ–¹æ³•

       JWT的header和payload其实是有json转变过来的，而signature其实就是一个加密后的字符串，因此解析起来较为简单，不需要其他辅助的内容。

       sessionId是服务器存储的用户对象的标识，理论上需要一个额外的map才能找出当前用户的信息。

       ç®¡ç†æ–¹æ³•

       JWT理论上用于无状态的请求，因此其用户管理也只是依赖本身而已。我们一般是在它的payload中加入过期时间，在不增加额外管理的情况下，它只有自动过期的方式。

       Session因为它本就是存储在服务器端的，因此管理方案就有很多，而且大多都很成熟。

       è·¨å¹³å°

       JWT本身就是基于json的，因此它是比较容易跨平台的，可以从官网下载不同平台的包，解析即可。

       session的跨平台可能就不那么好做了，需要考虑的地方在于用户信息存储的格式，ProtoBuf、json、xml等，管理的话可能就需要专门的统一登录平台，这个就不展开了。

       æ—¶æ•ˆæ€§

       æ— çŠ¶æ€JWT一旦被生成，就不会再和服务端有任何瓜葛。一旦服务端中的相关数据更新，无状态JWT中存储的数据由于得不到更新，就变成了过期的数据。

       session就不一样了，sessionId本身就没有太多含义，只需修改服务端中存储的数据即可。

       é€‚用场景

       JWT

       JWT的最佳用途是一次性授权Token，这种场景下的Token的特性如下：

       çœŸå®žåœºæ™¯çš„例子——文件托管服务，由两部分组成：

       å¦‚何把JWT用在这个场景中呢？

       Session

       Session比较适用于Web应用的会话管理，其特点一般是：

       æ€»ç»“

shiro（）-JWT（Token的生成）

       JWT（jsonwebtoken）是为了在网络应用环境之间传递声明而执行的一种基于JSON的开放标准。

       JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便从资源服务器获取资源。比如用于登录。

       shiro（9）-有状态身份认证和无状态身份认证的区别

       JWT由三部分组成：头部(header)、载荷(payload)、签名(signature)。头部定义类型和加密方式；载荷部分放的不是很重要的数据；签名使用定义的加密方式加密base后的header和payload和一段自己加密key。最后的token由base(header).base(payload).base(signature)组成。

       eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJvcmciOiLku4rml6XlpLTmnaEiLCJuYW1lIjoiRnJlZeeggeWGnCIsImV4cCI6MTUxNDM1NjEwMywiaWF0IjoxNTE0MzU2MDQzLCJhZ2UiOiIyOCJ9.UFvSkj-sA4aHHiYN5eoZ9Nb4w5VbPsLF7x_NY

       JWT头部分是一个描述JWT元数据的JSON对象。

       å®Œæ•´çš„头部就像下面这样的json。

       ç„¶åŽå°†å¤´éƒ¨è¿›è¡Œbase加密，构成第一部分：

       eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9

       è½½è·æ˜¯å­˜æ”¾æœ‰æ•ˆä¿¡æ¯çš„地方，这些有效部分包含三个部分。

       å…¬å…±çš„声明可以添加任何的信息，一般添加用户的相关信息或其他业务需要的必要信息，但不建议添加敏感的信息，因为这部分在客户端可解密。

       ç§æœ‰å£°æ˜Žæ˜¯æä¾›è€…和消费者所共同定义的声明，一般不建议存放敏感信息，因为base是对称解密的，意味着该部分信息可以归类为明文信息。

       å®šä¹‰ä¸€ä¸ªpayload：

       ç„¶åŽå°†å…¶è¿›è¡Œbase加密，得到第二部分

       eyJvcmciOiLku4rml6XlpLTmnaEiLCJuYW1lIjoiRnJlZeeggeWGnCIsImV4cCI6MTUxNDM1NjEwMywiaWF0IjoxNTE0MzU2MDQzLCJhZ2UiOiIyOCJ9

       jwt的第三部分是一个签证信息，这个签证信息由三部分组成：

       è¿™ä¸ªéƒ¨åˆ†éœ€è¦base加密后的header和base加密后的payload使用.连接组成的字符串，然后通过header中声明的加密方式进行加盐secret组合加密，就构成了jwt的第三部分：

       UFvSkj-sA4aHHiYN5eoZ9Nb4w5VbPsLF7x_NY

       æ³¨ï¼šå¯†é’¥secret是保存在服务端的，服务端会根据这个密钥进行生成token和验证，所以要保护好。

       è§£æžç»“æžœ

       é‡æ”¾æ”»å‡»æ˜¯æ”»å‡»è€…获取客户端发送给服务器端的包，不做修改，原封不动的发送给服务器用来实现某些功能。比如说客户端发送给服务器端一个包的功能是查询某个信息，攻击者拦截到这个包，然后想要查询这个信息的时候，把这个包发送给服务器，服务器就会做相应的操作，返回查询的信息。

鉴权必须了解的5个兄弟：cookie、session、token、jwt、单点登录

       æœ¬æ–‡ä½ å°†çœ‹åˆ°ï¼š

       **「前端存储」**这就涉及到一发、一存、一带，发好办，登陆接口直接返回给前端，存储就需要前端想办法了。

       å‰ç«¯çš„存储方式有很多。

       æœ‰ï¼Œcookie。cookie也是前端存储的一种，但相比于localStorage等其他方式，借助HTTP头、浏览器能力，cookie可以做到前端无感知。一般过程是这样的：

       ã€Œé…ç½®ï¼šDomain/Path」

       cookie是要限制::「空间范围」::的，通过Domain（域）/Path（路径）两级。

       ã€Œé…ç½®ï¼šExpires/Max-Age」

       cookie还可以限制::「时间范围」::，通过Expires、Max-Age中的一种。

       ã€Œé…ç½®ï¼šSecure/HttpOnly」

       cookie可以限制::「使用方式」::。

       **「HTTP头对cookie的读写」**回过头来，HTTP是如何写入和传递cookie及其配置的呢？HTTP返回的一个Set-Cookie头用于向浏览器写入「一条（且只能是一条）」cookie，格式为cookie键值+配置键值。例如：

       é‚£æˆ‘想一次多set几个cookie怎么办？多给几个Set-Cookie头（一次HTTP请求中允许重复）

       HTTP请求的Cookie头用于浏览器把符合当前「空间、时间、使用方式」配置的所有cookie一并发给服务端。因为由浏览器做了筛选判断，就不需要归还配置内容了，只要发送键值就可以。

       **「前端对cookie的读写」**前端可以自己创建cookie，如果服务端创建的cookie没加HttpOnly，那恭喜你也可以修改他给的cookie。调用document.cookie可以创建、修改cookie，和HTTP一样，一次document.cookie能且只能操作一个cookie。

       è°ƒç”¨document.cookie也可以读到cookie，也和HTTP一样，能读到所有的非HttpOnlycookie。

       çŽ°åœ¨å›žæƒ³ä¸‹ï¼Œä½ åˆ·å¡çš„时候发生了什么？

       è¿™ç§æ“ä½œï¼Œåœ¨å‰åŽç«¯é‰´æƒç³»ç»Ÿä¸­ï¼Œå«session。典型的session登陆/验证流程：

       **「Session的存储方式」**显然，服务端只是给cookie一个sessionId，而session的具体内容（可能包含用户信息、session状态等），要自己存一下。存储的方式有几种：

       ã€ŒSession的过期和销毁」**很简单，只要把存储的session数据销毁就可以。****「Session的分布式问题」**通常服务端是集群，而用户请求过来会走一次负载均衡，不一定打到哪台机器上。那一旦用户后续接口请求到的机器和他登录请求的机器不一致，或者登录请求的机器宕机了，session不就失效了吗？这个问题现在有几种解决方式。

       ä½†é€šå¸¸è¿˜æ˜¯é‡‡ç”¨ç¬¬ä¸€ç§æ–¹å¼ï¼Œå› ä¸ºç¬¬äºŒç§ç›¸å½“于阉割了负载均衡，且仍没有解决「用户请求的机器宕机」的问题。**「node.js下的session处理」**前面的图很清楚了，服务端要实现对cookie和session的存取，实现起来要做的事还是很多的。在npm中，已经有封装好的中间件，比如express-session-npm，用法就不贴了。这是它种的cookie：

       express-session-npm主要实现了：

       session的维护给服务端造成很大困扰，我们必须找地方存放它，又要考虑分布式的问题，甚至要单独为了它启用一套Redis集群。有没有更好的办法？

       å›žè¿‡å¤´æ¥æƒ³æƒ³ï¼Œä¸€ä¸ªç™»å½•åœºæ™¯ï¼Œä¹Ÿä¸å¿…å¾€session存太多东西，那为什么不直接打包到cookie中呢？这样服务端不用存了，每次只要核验cookie带的「证件」有效性就可以了，也可以携带一些轻量的信息。这种方式通常被叫做token。

       token的流程是这样的：

       **「客户端token的存储方式」在前面cookie说过，cookie并不是客户端存储凭证的唯一方式。token因为它的「无状态性」，有效期、使用限制都包在token内容里，对cookie的管理能力依赖较小，客户端存起来就显得更自由。但web应用的主流方式仍是放在cookie里，毕竟少操心。「token的过期」**那我们如何控制token的有效期呢？很简单，把「过期时间」和数据一起塞进去，验证时判断就好。

       ç¼–码的方式丰俭由人。**「base」**比如node端的cookie-session-npm库

       é»˜è®¤é…ç½®ä¸‹ï¼Œå½“我给他一个userid，他会存成这样：

       è¿™é‡Œçš„eyJ1c2VyaWQiOiJhIn0=，就是{ "userid":"abb”}的base而已。「防篡改」

       æ˜¯çš„。所以看情况，如果token涉及到敏感权限，就要想办法避免token被篡改。解决方案就是给token加签名，来识别token是否被篡改过。例如在cookie-session-npm库中，增加两项配置：

       è¿™æ ·ä¼šå¤šç§ä¸€ä¸ª.sigcookie，里面的值就是{ "userid":"abb”}和iAmSecret通过加密算法计算出来的，常见的比如HMACSHAç±»(System.Security.Cryptography)|MicrosoftDocs。

       å¥½äº†ï¼ŒçŽ°åœ¨cdd虽然能伪造出eyJ1c2VyaWQiOiJhIn0=，但伪造不出sig的内容，因为他不知道secret。**「JWT」**但上面的做法额外增加了cookie数量，数据本身也没有规范的格式，所以JSONWebTokenIntroduction-jwt.io横空出世

nuxt asyncData并发请求JWT token 错乱问题

       遇到的问题是JWT token认证的前后端分离项目中，用户A和用户B同时请求同一页面时，各自接收到的数据错乱。具体表现为用户A获取到用户B的数据，而用户B获取到用户A的数据。页面的asyncData方法包含两个并发请求，发现即使只有一个"/api/1"请求，使用了$axios在服务端发起请求，也会导致token错乱问题。

       在plugins/axios.js文件中，获取token的方式无论是store.state.token还是req.headers.cookie，问题依旧存在。在服务端打印的日志显示在进入$axios设置时，$axios.setHeader('Authorization',`JWT ${ token}`);这行代码确实在服务端执行。通过这个日志，masterchef 源码我们得知问题出现在服务端，且与$axios的注入有关。

       暂时还未找到准确原因，期待有经验的开发者能提供解决方案。可能原因包括注入方式、服务端执行环境、或$axios的使用方式不当。等待专业人士解析。

       为解决此问题，推荐不使用注入Vue对象内的$axios，而是改用axios。这样可以将全局拦截器的设置放在actions里的nuxtServerInit方法下。确保导入axios模块：`import axios from 'axios';`。通过这种方法，可以有效避免在服务端注入$axios带来的潜在问题，从而解决JWT token错乱问题。syncone源码

       最后，需要在请求页面的asyncData方法中，合理使用axios发起请求，确保token正确注入。这样，前后端分离的项目中，用户的请求将能够准确获取到对应的数据，避免数据错乱的问题。

OAuth2.0实战！使用JWT令牌认证！

       本文介绍OAuth2.0集成JWT颁发令牌的实践，这是企业中应用广泛的令牌形式。

       OAuth2.0中的令牌分为透明和不透明两种类型。不透明令牌是仅包含随机字符串，如UUID，资源服务需调用认证授权服务的接口进行校验，导致高并发下性能低下。相比之下，透明令牌如JWT，直接存储用户信息，资源服务可自行解析，无需额外调用校验接口。

       JWT由三部分构成：头部、载荷和签名。头部定义令牌基本信息，如类型和加密算法。载荷包含用户信息等元数据。签名部分使用头部定义的算法结合密钥生成，确保数据完整性和安全性。

       在OAuth2.0认证授权服务搭建中，JWT作为透明令牌，简化了令牌验证过程。首先，创建oauth2-auth-server-jwt模块，继承并修改上文关于OAuth2.0的代码。配置JWT相关的类，包括令牌增强类、令牌存储策略和签名密钥。使用JwtAccessTokenConverter进行JWT和OAuth身份转换，配置TokenStore为JWT生成方式，同时注意在实际应用中应使用非对称加密以增强安全性。

       接下来，为授权服务配置令牌管理，使用DefaultTokenServices实现，设置令牌过期时间，并通过JWT方式生成访问令牌。在AuthorizationServerEndpointsConfigurer中添加令牌服务。至此，认证中心JWT令牌生成方式配置完成。

       资源服务方面，构建oauth2-auth-resource-jwt模块，复用授权服务的配置，注意JWT加密密钥需与认证中心一致。配置令牌服务，生成ResourceServerTokenServices对象，结合JWT增强。将资源ID和令牌服务配置到ResourceServerSecurityConfigurer中，以实现资源访问。

       测试阶段，通过获取令牌并调用资源服务接口验证逻辑是否正确。使用POSTMAN请求获取访问令牌，并使用获取的访问令牌调用资源服务接口进行测试。JWT令牌验证成功。

       源码追踪环节，解析获取令牌和校验令牌的过程。获取令牌主要在TokenEndpoint处理，通过ClientDetailsService加载客户端信息，使用DefaultTokenServices生成并返回OAuth2AccessToken。校验令牌则在OAuth2AuthenticationProcessingFilter中完成，调用OAuth2AuthenticationManager的authenticate()方法实现令牌验证。

第4课：Spring Security Oauth2整合JWT

       本文详细介绍了Spring Security Oauth2整合JWT的过程，包括代码地址、项目介绍与配置、开始测试等步骤。

       项目配置包括引入JWT、配置TokenStore、JwtTokenEnhancer补充额外信息、WebSecurityConfig、ResourceServiceConfig、AuthorizationServerConfig、自定义登录页面、自定义授权页面、UserController与MyUserDetailsService。

       测试流程包括获取授权地址、跳转至登录页面输入用户名与密码、跳转至授权页面并授权、通过POST请求获取令牌token，以及根据token获取user信息。最后部分鼓励读者收藏文章，以便日后参考，欢迎在评论区分享学习体会。

JWT令牌详解

       JWT是JSON Web Token的缩写,是一个轻巧的规范,一个开放的行业标准,它定义了一种简洁的、自包含的协议格式,这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的消息.

        一个JWT实际上就是一个字符串,它由三部分组成,头部、荷载与签名

        头部描述关于该JWT的最基本的信息,例如其类型以及签名所用的算法等

        例如{ "type":"JWT","alg":"HS"}

        其头部指明了签名算法是HS算法

        HMAC算法(非对称的)

        SH

        RSA

        荷载就是存放有效信息的地方

        定义一个payload:{ "sub":"","name":"John Doe","admin":true}

        签证又由三部分组成,base加密后的header和base加密后的payload使用,连接组成的字符串

        然后通过header中声明的加密方式进行加盐secret组合加密.

        1、jwt基于json,非常方便解析

        2、可以在令牌中自定义丰富的内容,易扩张

        3、通过非对称加密算法以及数字签名技术,JWT防止篡改,安全性高

        4、资源服务使用JWT可不依赖认证服务即可完成授权

        JWT令牌较长,占存储空间比较大.

        一个公钥对应一个私钥,私钥作为签名给JWT加密,那么这里需要生成与之对应的公钥:

        输入密钥库口令: keytool -list -keystore changgou.jks

        显示的信息为:

        密钥库类型: jks

        密钥库提供方: SUN

        您的密钥库包含 1 个条目

        changgou, -7-, PrivateKeyEntry,

        证书指纹 (SHA1): :2E::8B::::8C:AF:::5F:4F:D6::::::

        输入命令后就可以得到公钥:

        注释:classPathResource:私钥位置;

        new KeyStoreKeyFactory:创建私钥工厂,需要私钥库密码和私钥位置两个参数;

        keyStoreKeyFactory.getKeyPair(alias,password.toCharArray):获取keyPair对象,keyPair.getPrivate()即是获取私钥;

        根据私钥获取令牌:JwtHelper.encode(JSON.toJSONString(map,new RsaSigner(rsaPrivateKey));