2、JWT应用场景：无状态认证、单点登录（SSO）、API授权、信息交换

JSON Web Token（JWT）的核心价值在于其自包含与无状态特性。它允许将用户身份、权限及少量元数据编码在一个紧凑的令牌中，从而在分布式系统中实现高效的信任传递。本章将深入剖析JWT的四大经典应用场景，并通过架构图与对比表格，明确其适用边界与实施要点。

2.1 无状态认证（Stateless Authentication）

这是JWT最基础、最广泛的应用模式。在传统的基于会话（Session）的认证中，服务端需要维护一个会话存储（如Redis或内存），每次请求都需查询会话状态，这带来了扩展性瓶颈。JWT将用户身份信息直接编码进令牌，服务端只需验证签名即可信任令牌内容，无需查询任何共享存储。

下图展示了无状态认证的典型请求-响应流程：

2.2 单点登录（SSO）

在微服务架构或企业级应用中，用户往往需要在多个独立的子系统间无缝切换。JWT是实现SSO的理想载体。用户在一个统一的认证中心登录后，获取一个JWT，该令牌可在多个受信任的服务间流通，无需重复登录。

下表对比了基于JWT的SSO与传统基于共享会话的SSO：

下图展示了JWT在SSO场景下的跨服务交互逻辑：

2.3 API授权

在RESTful API设计中，JWT常用于携带用户的角色（Role）或权限范围（Scope）。API网关或微服务可以从JWT的Payload中直接提取授权信息，实现细粒度的访问控制。

典型的JWT Payload授权结构示例：

{
  "sub": "user_12345",
  "name": "张三",
  "roles": ["admin", "editor"],
  "permissions": [
    "article:create",
    "article:update",
    "user:read"
  ],
  "exp": 1718000000,
  "iss": "https://auth.example.com"
}

下表列出了JWT中常用的授权相关声明（Claims）：

2.4 信息交换

JWT作为一种安全、紧凑的URL安全字符串，非常适合在异构系统之间交换身份或元数据。例如，在OAuth 2.0授权码流程中，授权码换取的Access Token通常就是JWT格式，它携带了用户信息和授权范围，资源服务器可以直接解析使用。

JWT用于信息交换的典型特征：

• 自验证：接收方无需调用认证服务器，仅凭签名即可验证数据来源的可靠性。
• 防篡改：任何对Payload的修改都会导致签名验证失败。
• 紧凑性：相比XML或SAML断言，JWT体积更小，适合在HTTP Header或URL参数中传输。

下表总结了四个场景的核心关注点：