JWT登录大白话讲解：游乐园手环，亮一下就能进

现在做前后端分离，很多人用JWT做登录认证，新手听着概念很玄，今天用大白话讲清楚。

JWT是干嘛的

以前登录是用Session，服务器存着用户登录状态，现在前后端分离、APP、小程序都要登录，服务器存Session太麻烦，JWT就是：用户登录成功，后端给用户发一个加密的令牌，后面用户每次请求，都带上这个令牌，后端验证令牌对不对，就知道是谁登录了，服务器不用存任何登录状态。

新手怎么理解

就像你去游乐园，买完票，门口给你一个手环，后面你玩每个项目，不用再买票，亮一下手环就行，手环就是JWT，后端给你发了，你带着，不用每次都输密码。

注意事项

JWT令牌有有效期，过期了用户要重新登录；令牌别存在localStorage，容易被XSS偷，存在httpOnly的cookie里更安全。

不用一上来就自己手写JWT，用现成的库，后端一行代码就能发令牌，验证也是库自动做，新手知道原理就行。