A. jwt中為啥用refresh_token去刷新access_token,直接把access_token的有效期設置長一點不行嗎
access_token使用頻率高，容易泄露，有效期風險就小。refresh_token使用頻率低，泄露風險小。另外，不是必須要有兩個token吧？
B. java jwt如何刷新過期時間
客戶端
auth_header = JWT.encode({ user_id: 123, iat: Time.now.to_i, # 指定token發布時間 exp: Time.now.to_i + 2 # 指定token過期時間為2秒後，2秒時間足夠一次HTTP請求，同時在一定程度確保上一次token過期，減少replay attack的概率；}, "<my shared secret>")
RestClient.get("http://api.example.com/", authorization: auth_header)
服務端
class ApiController < ActionController::Base
attr_reader :current_user
before_action :set_current_user_from_jwt_token
def set_current_user_from_jwt_token
# Step 1:解碼JWT，並獲取User ID，這個時候不對Token簽名進行檢查
# the signature. Note JWT tokens are *not* encrypted, but signed.
payload = JWT.decode(request.authorization, nil, false) # Step 2: 檢查該用戶是否存在於資料庫
@current_user = User.find(payload['user_id'])
# Step 3: 檢查Token簽名是否正確.
JWT.decode(request.authorization, current_user.api_secret)
# Step 4: 檢查 "iat" 和"exp" 以確保這個Token是在2秒內創建的.
now = Time.now.to_i if payload['iat'] > now || payload['exp'] < now # 如果過期則返回401
end
rescue JWT::DecodeError
# 返回 401
endend
C. 希捷硬碟 SN：2GH7KJWT PN:9SCAN1-500 這個是真的嗎
序列號：2GH7KJWT，產品號：9SCAM1-572的硬碟在保修期內，有效期至 06-Jun-2015（2015年6月6日）
D. jwt作為取代session-cookie機制的替代，實際運用會存在什麼問題
為什麼要使用jwt，讓網路數據更加安全，以防其他一些人無意惡搞
降低了session驗證的性能消耗。
JWT是 Auth0 提出的通過對JSON進行加密簽名來實現授權驗證的方案，編碼之後的JWT看起來是這樣的一串字元：
..
由.分為三段，通過解碼可以得到：
// 1. Headers
// 包括類別（typ）、加密演算法（alg）；
{
"alg": "HS256",
"typ": "JWT"
}
// 2. Claims
// 包括需要傳遞的用戶信息；
{
"sub": "1234567890",
"name": "John Doe",
"admin": true
}
// 3. Signature
HMACSHA256(
base64UrlEncode(header) + "." +
base64UrlEncode(payload),
SECREATE_KEY
)
在使用過程中，服務端通過用戶登錄驗證之後，將Header+Claim信息加密後得到第三段簽名，然後將簽名返回給客戶端，在後續請求中，服務端只需要對用戶請求中包含的JWT進行解碼，即可驗證是否可以授權用戶獲取相應信息.
使用JWT可以省去服務端讀取Session的步驟，這樣更符合RESTful的規范。但是對於客戶端（或App端）來說，為 了保存用戶授權信息，仍然需要通過Cookie或類似的機制進行本地保存。因此JWT是用來取代服務端的Session而非客戶端Cookie的方案，當 然對於客戶端本地存儲，HTML5提供了Cookie之外更多的解決方案（localStorage/sessionStorage），究竟採用哪種存儲 方式，其實從Js操作上來看沒有本質上的差異，不同的選擇更多是出於安全性的考慮。
E. 無法驗證簽名java JWT問題，怎麼解決
太泛泛了，用的jjwt還是auth0？
把代碼上來
F. node.js實現jwt登錄許可權怎麼在有效期內請求延遲過期時間
添加一個鑒權借口。。每次發送請求。。驗證有沒有登錄的時候解析到了。。信息。。在到鑒權借口。。生成新的jwt返回啊
G. 如何在Java 中創建和驗證JWT
用戶發起登錄請求，服務端創建一個加密後的jwt信息，作為token返回值，在後續請求中jwt信息作為請求頭，服務端正確解密後可獲取到存儲的用戶信息，表示驗證通過；解密失敗說明token無效或者已過期。
加密後jwt信息如下所示，是由.分割的三部分組成，分別為Header、Payload、Signature。
eyJhbGciOiJIUzI1NiJ9..vW-
Header包含兩部分信息，alg指加密類型，可選值為HS256、RSA等等，typ=JWT為固定值，表示token的類型。
{
"alg": "HS256",
"typ": "JWT"
}
Payload是指簽名信息以及內容，一般包括iss (發行者), exp (過期時間), sub(用戶信息), aud (接收者),以及其他信息，詳細介紹請參考官網。
{
"sub": "1234567890",
"name": "John Doe",
"admin": true
}
Signature則為對Header、Payload的簽名。
HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)
在jwt官網，可以看到有不同語言的實現版本，這里使用的是Java版的jjwt。話不多說，直接看代碼，加解密都很簡單：
/**
* 創建 jwt
* @param id
* @param subject
* @param ttlMillis
* @return
* @throws Exception
*/
public String createJWT(String id, String subject, long ttlMillis) throws Exception {
SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256 ;
long nowMillis = System. currentTimeMillis();
Date now = new Date( nowMillis);
SecretKey key = generalKey();
JwtBuilder builder = Jwts. builder()
.setId(id)
.setIssuedAt(now)
.setSubject(subject)
.signWith(signatureAlgorithm, key);
if (ttlMillis >= 0){
long expMillis = nowMillis + ttlMillis;
Date exp = new Date( expMillis);
builder.setExpiration( exp);
}
return builder.compact();
}
/**
* 解密 jwt
* @param jwt
* @return
* @throws Exception
*/
public Claims parseJWT(String jwt) throws Exception{
SecretKey key = generalKey();
Claims claims = Jwts. parser()
.setSigningKey( key)
.parseClaimsJws( jwt).getBody();
return claims;
}
加解密的key是通過固定字元串轉換而生成的；subject為用戶信息的json字元串；ttlMillis是指token的有效期，時間較短，需要定時更新。
這里要介紹的token刷新方式，是在生成token的同時生成一個有效期較長的refreshToken，後續由客戶端定時根據refreshToken來獲取最新的token。瀏覽器與服務端之間建立sse(server send event)請求，來實現刷新。關於sse在前面博文中有介紹過，此處略過不提。
H. Java使用JWT進行登錄驗證
每次需要驗證的網路請求，都要在header里添加jwt
I. 用於驗證的 Passport.js 與 JsonWebToken 是什麼關系
選擇一種或多種策略來構建自己應用的驗證模塊就像這樣
//為passport增加本地驗證的策略
passport.use(new LocalStrategy(
function (username, password, done) {
// 鏈接資料庫，進行驗證
#yourcode#
}
));
//在介面中使用passport來進行驗證
router.get('/token', passport.authenticate('local'),
function (req, res) {
res.send({#token#});
}
);