authentication - JWT 的正确工作流程是什么？

Question

我正在开发一个 API，我正在努力解决授权问题。我刚刚了解了 JSON Web Tokens，我理解这个概念，但有几件事我有疑问。

1. 获得初始 JWT 后，是否只要在客户端向服务器发出请求时就将其包含在 header 中？
2. 从服务器响应客户端时是否也包括它？
3. 每当我发送一个请求(在任一方向)时，我是否必须更新过期时间？

谢谢!

Answer 1

1. 如果您需要能够对请求进行身份验证，是的，您需要将 JWT 与请求一起发送。无需身份验证即可调用不需要身份验证的电话。
2. 不，您不需要在每个回复中都包含它。一旦浏览器分配了 JWT(在登录时)，您可以将其存储在浏览器(本地存储)中，直到它应该被调整或删除(例如注销)
3. 应设置到期时间，以便 token 在您需要的期限内保持有效。就像 cookie session 一样，设置了过期时间。过期时间戳使 JWT 在过期之前一直有效。