持有者 （JWT） 身份验证方案的身份验证信息标头

Question

我在REST api中使用JWT承载身份验证方案。为了在成功身份验证后将jwt令牌返回给客户端，目前我在正文中使用访问令牌响应，如中所述https://www.rfc-editor.org/rfc/rfc6750#page-10

{
   "access_token":"mF_9.B5f-4.1JqM",
   "token_type":"Bearer",
   "expires_in":3600,
   "refresh_token":"tGzv3JOkF0XG5Qx2TlKWIA"
 }

但是也需要在其他HTTP请求中返回令牌，例如已经存在正文的注册。因此，正在考虑为其使用“身份验证信息”标头。但是承载方案没有在任何地方指定“身份验证信息”标头。我应该使用身份验证信息标头来返回 jwt 令牌吗？

没有使用OAuth 2.0，只有JWT。

Answer 1

对于OAuth 2.0来说，您所拥有的可能是正确的，但是对于普通的JWT来说，它要简单得多。当你使用普通的自制JWT时，客户端会把令牌放在一个叫做Authorization的HTTP头上。头的值是这样的

Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

标头字段也可以称为其他名称。服务器和客户端必须就名称达成一致。授权只是最常见的名称。

服务器通常会通过响应登录endpoint上的POST请求来发出令牌。当登录成功时，令牌可以成为响应正文的一部分。客户端将存储令牌，并使用上面的标头将令牌与每个请求一起发送。您可以忘记与访问令牌和刷新令牌有关的一切。当使用“普通”基本JWT时，您将只有一个令牌，这是承载后的值。

我看不出有任何理由在用户注册时发放令牌。他们可以在注册后登录时获得它。

如果您只是实现普通身份验证，我建议您阅读OAuth的RFCs。