在 Java 项目（比如 Spring Boot + Vue）中使用 JWT（JSON Web Token），本质是用一种“无状态的身份认证机制”来替代传统的 Session 登录。
一、JWT 的好处（为什么越来越多人用）
1️⃣ 无状态（核心优势）
传统登录：
用户登录 → 服务端存 Session → Redis / 内存保存
每次请求都要查 Session
JWT：
登录成功 → 服务端直接返回一个 token
后续请求 → 客户端带 token，服务端不存任何登录状态
👉 好处：
不用 Redis 存 Session
服务可以随便扩容（天然支持分布式）
2️⃣ 天然适合前后端分离（你现在用 Vue3 就很适合）
流程非常简单：
前端（Vue）
↓ 登录
后端（SpringBoot）→ 返回 JWT
↓
前端存 token（localStorage）
↓
每次请求带 token（Authorization）
👉 好处：
不依赖 Cookie（避免跨域问题）
前端控制更灵活
3️⃣ 跨服务 / 微服务支持很好
在微服务架构中：
A 服务发 token
B / C / D 服务都能验证
👉 不需要共享 Session
4️⃣ 性能更高（减少 IO）
传统：
每次请求查 Redis / DB
JWT：
只做一次 签名校验（内存计算）
👉 CPU 换 IO，通常更快
5️⃣ 安全性可控（可扩展）
JWT 可以：
设置过期时间（exp）
加自定义信息（用户ID、角色）
二、JWT 的原理（重点）
JWT 本质就是一个字符串：
xxxxx.yyyyy.zzzzz
分为三部分：
1️⃣ Header（头部）
说明：
类型（JWT）
签名算法（如 HS256）
示例：
{
"alg": "HS256",
"typ": "JWT"
}
2️⃣ Payload（载荷）
存放用户信息（但不是加密的！只是 Base64 编码）
{
"userId": 1001,
"username": "yang",
"exp": 1710000000
}
👉 注意：
不要放密码！
任何人都能解码看到
3️⃣ Signature（签名）
核心安全点：
签名 = HMACSHA256(
base64(header) + "." + base64(payload),
secret
)
👉 用服务端的 secret密钥生成
三、完整认证流程（你要重点理解）
登录时：
1. 用户输入账号密码
2. 后端校验成功
3. 生成 JWT（包含 userId）
4. 返回给前端
请求时：
前端请求：
Authorization: Bearer xxx.jwt.token
后端处理：
1. 拿到 token
2. 校验签名（防篡改）
3. 校验过期时间
4. 解析 userId
5. 放行请求
四、JWT vs Session
五、JWT 的缺点
❗1. 无法主动失效（最大问题）
token 一旦发出去
服务端没法“立刻让它失效”
👉 解决：
短有效期 + 刷新 token
或维护黑名单（Redis）
❗2. token 被盗 = 直接登录
👉 所以必须：
HTTPS
不存敏感信息
设置过期时间
❗3. token 体积较大
比 sessionId 大很多
❗4. 登录状态下失效
token如果过期，即使在已登录状态下，也有可能失效，业内做法是双token，1个短期token（30分钟），1个长期刷新token（7天）。
流程如下：
登录
↓
accessToken + refreshToken
↓
请求接口
↓
accessToken过期 ❗
↓
用refreshToken换新token
↓
继续访问
六、总结一句话（你可以记住这个）
👉 JWT 本质是：
用“签名”替代“存储”，实现无状态登录
七、结合你当前技术栈（重点建议）
你是：
Java（SpringBoot 2.7.6）
Vue3
👉 最推荐方案：
JWT + Spring Security + Redis（可选）
结构：
JWT：认证
Redis：黑名单 / 刷新token
Spring Security：拦截器