jwt

[soon530]

https://jwt.io

• 用來取代isLogin=true這種東西
• 可以放id，你可以知道，但改不掉
• 登入後給jwt
• jwt不會存在server端
• 透過JWT_SECRET來驗證是不是我發出去的

標頭(Header).內容(Payload).簽名(Signature)

頭 演算法 身 內容 尾 簽章

[soon530]

網站預設jwt用your-256-bit-secret產生的，所以可以過關。

改成貼我產生的jwt呢？過不了關，因為我是用YOUR_SECRET產生的。

改成用YOUR_SECRET就沒問題了。

所以JWT_SECRET是很重要的，用來驗證這jwt是不是你發出去的。