A. jwt中为啥用refresh_token去刷新access_token,直接把access_token的有效期设置长一点不行吗
access_token使用频率高，容易泄露，有效期风险就小。refresh_token使用频率低，泄露风险小。另外，不是必须要有两个token吧？
B. java jwt如何刷新过期时间
客户端
auth_header = JWT.encode({ user_id: 123, iat: Time.now.to_i, # 指定token发布时间 exp: Time.now.to_i + 2 # 指定token过期时间为2秒后，2秒时间足够一次HTTP请求，同时在一定程度确保上一次token过期，减少replay attack的概率；}, "<my shared secret>")
RestClient.get("http://api.example.com/", authorization: auth_header)
服务端
class ApiController < ActionController::Base
attr_reader :current_user
before_action :set_current_user_from_jwt_token
def set_current_user_from_jwt_token
# Step 1:解码JWT，并获取User ID，这个时候不对Token签名进行检查
# the signature. Note JWT tokens are *not* encrypted, but signed.
payload = JWT.decode(request.authorization, nil, false) # Step 2: 检查该用户是否存在于数据库
@current_user = User.find(payload['user_id'])
# Step 3: 检查Token签名是否正确.
JWT.decode(request.authorization, current_user.api_secret)
# Step 4: 检查 "iat" 和"exp" 以确保这个Token是在2秒内创建的.
now = Time.now.to_i if payload['iat'] > now || payload['exp'] < now # 如果过期则返回401
end
rescue JWT::DecodeError
# 返回 401
endend
C. 希捷硬盘 SN：2GH7KJWT PN:9SCAN1-500 这个是真的吗
序列号：2GH7KJWT，产品号：9SCAM1-572的硬盘在保修期内，有效期至 06-Jun-2015（2015年6月6日）
D. jwt作为取代session-cookie机制的替代，实际运用会存在什么问题
为什么要使用jwt，让网络数据更加安全，以防其他一些人无意恶搞
降低了session验证的性能消耗。
JWT是 Auth0 提出的通过对JSON进行加密签名来实现授权验证的方案，编码之后的JWT看起来是这样的一串字符：
..
由.分为三段，通过解码可以得到：
// 1. Headers
// 包括类别（typ）、加密算法（alg）；
{
"alg": "HS256",
"typ": "JWT"
}
// 2. Claims
// 包括需要传递的用户信息；
{
"sub": "1234567890",
"name": "John Doe",
"admin": true
}
// 3. Signature
HMACSHA256(
base64UrlEncode(header) + "." +
base64UrlEncode(payload),
SECREATE_KEY
)
在使用过程中，服务端通过用户登录验证之后，将Header+Claim信息加密后得到第三段签名，然后将签名返回给客户端，在后续请求中，服务端只需要对用户请求中包含的JWT进行解码，即可验证是否可以授权用户获取相应信息.
使用JWT可以省去服务端读取Session的步骤，这样更符合RESTful的规范。但是对于客户端（或App端）来说，为 了保存用户授权信息，仍然需要通过Cookie或类似的机制进行本地保存。因此JWT是用来取代服务端的Session而非客户端Cookie的方案，当 然对于客户端本地存储，HTML5提供了Cookie之外更多的解决方案（localStorage/sessionStorage），究竟采用哪种存储 方式，其实从Js操作上来看没有本质上的差异，不同的选择更多是出于安全性的考虑。
E. 无法验证签名java JWT问题，怎么解决
太泛泛了，用的jjwt还是auth0？
把代码上来
F. node.js实现jwt登录权限怎么在有效期内请求延迟过期时间
添加一个鉴权借口。。每次发送请求。。验证有没有登录的时候解析到了。。信息。。在到鉴权借口。。生成新的jwt返回啊
G. 如何在Java 中创建和验证JWT
用户发起登录请求，服务端创建一个加密后的jwt信息，作为token返回值，在后续请求中jwt信息作为请求头，服务端正确解密后可获取到存储的用户信息，表示验证通过；解密失败说明token无效或者已过期。
加密后jwt信息如下所示，是由.分割的三部分组成，分别为Header、Payload、Signature。
eyJhbGciOiJIUzI1NiJ9..vW-
Header包含两部分信息，alg指加密类型，可选值为HS256、RSA等等，typ=JWT为固定值，表示token的类型。
{
"alg": "HS256",
"typ": "JWT"
}
Payload是指签名信息以及内容，一般包括iss (发行者), exp (过期时间), sub(用户信息), aud (接收者),以及其他信息，详细介绍请参考官网。
{
"sub": "1234567890",
"name": "John Doe",
"admin": true
}
Signature则为对Header、Payload的签名。
HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)
在jwt官网，可以看到有不同语言的实现版本，这里使用的是Java版的jjwt。话不多说，直接看代码，加解密都很简单：
/**
* 创建 jwt
* @param id
* @param subject
* @param ttlMillis
* @return
* @throws Exception
*/
public String createJWT(String id, String subject, long ttlMillis) throws Exception {
SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256 ;
long nowMillis = System. currentTimeMillis();
Date now = new Date( nowMillis);
SecretKey key = generalKey();
JwtBuilder builder = Jwts. builder()
.setId(id)
.setIssuedAt(now)
.setSubject(subject)
.signWith(signatureAlgorithm, key);
if (ttlMillis >= 0){
long expMillis = nowMillis + ttlMillis;
Date exp = new Date( expMillis);
builder.setExpiration( exp);
}
return builder.compact();
}
/**
* 解密 jwt
* @param jwt
* @return
* @throws Exception
*/
public Claims parseJWT(String jwt) throws Exception{
SecretKey key = generalKey();
Claims claims = Jwts. parser()
.setSigningKey( key)
.parseClaimsJws( jwt).getBody();
return claims;
}
加解密的key是通过固定字符串转换而生成的；subject为用户信息的json字符串；ttlMillis是指token的有效期，时间较短，需要定时更新。
这里要介绍的token刷新方式，是在生成token的同时生成一个有效期较长的refreshToken，后续由客户端定时根据refreshToken来获取最新的token。浏览器与服务端之间建立sse(server send event)请求，来实现刷新。关于sse在前面博文中有介绍过，此处略过不提。
H. Java使用JWT进行登录验证
每次需要验证的网络请求，都要在header里添加jwt
I. 用于验证的 Passport.js 与 JsonWebToken 是什么关系
选择一种或多种策略来构建自己应用的验证模块就像这样
//为passport增加本地验证的策略
passport.use(new LocalStrategy(
function (username, password, done) {
// 链接数据库，进行验证
#yourcode#
}
));
//在接口中使用passport来进行验证
router.get('/token', passport.authenticate('local'),
function (req, res) {
res.send({#token#});
}
);