什么是JWT？如何生成和验证JWT token？

JWT（JSON Web Token）是一种用于身份验证和授权的开放标准（RFC 7519）。它是一种轻量级的安全传输方式，用于在网络应用间传递声明信息。JWT由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。

头部包含了关于令牌的元数据和加密算法的信息，通常由两部分组成：令牌类型（即JWT）和所使用的签名算法（如HMAC SHA256或RSA）。

载荷是JWT的主要内容，包含了一些声明信息，如用户ID、角色、权限等。载荷可以自定义，但建议只包含一些非敏感的信息，因为JWT是可解码的。

签名是对头部和载荷进行加密生成的，用于验证JWT的真实性和完整性。签名需要使用头部中指定的算法和密钥进行生成，接收方可以通过验证签名来确保JWT没有被篡改。

生成JWT token的过程如下：
1. 创建一个包含所需声明信息的JSON对象。
2. 使用Base64编码头部和载荷，形成两个字符串。
3. 将两个字符串用点号连接起来，形成一个未签名的JWT。
4. 使用指定的算法和密钥对未签名的JWT进行签名，生成签名字符串。
5. 将签名字符串添加到未签名的JWT末尾，形成最终的JWT token。

验证JWT token的过程如下：
1. 将接收到的JWT token按点号分割为头部、载荷和签名三部分。
2. 使用相同的算法和密钥对头部和载荷进行签名，生成一个新的签名字符串。
3. 将新生成的签名字符串与接收到的签名进行比较，如果相同，则说明JWT token是有效的。