智威湯遜是否可以專屬於客戶？

Question

我對身份驗證和JWT的概念很陌生。我在jsonwebtoken的幫助下修改了我的Sails應用程序以生成JWT。我簽署這樣的JWTs：jwt.sign(payload, secret, { expiresInMinutes: 120 });

1. ，這是否意味着有訪問令牌可以訪問受保護的資源的一個客戶端？
2. 應如何使用有效載荷？我應該將用戶代理字符串保存在有效負載中並在客戶端上驗證它嗎？

Answer 1

是的，擁有令牌的任何人都可以調用您的API。這就是爲什麼一切都應該通過SSL，到期應符合它所做的事情的敏感性。

的智威湯遜會通常在Authorization頭被髮送：

Authorization: Bearer {your token here}

順便說一句，你可以測試內容/簽名位置：http://jwt.io