在用户权限校验的过程中，一个用户如果应用受权信息胜利登录后，一个 JSON Web Token 将会返回给用户端。
因为返回的令牌蕴含有受权信息，应用程序应小心保留这些受权信息，以防止不必要的平安问题。你的应用程序在不须要受权信息的时候，应用程序不应该保留受权胜利后返回的令牌。
应用程序也不应该将这些敏感信息保留在浏览器中，因为这样会更加容易导致信息透露，请参考链接：https://cheatsheetseries.owasp.org/cheatsheets/HTML5_Security_Cheat_Sheet.html#local-storage 中的内容。
在任何时候，如果用户心愿拜访一个受爱护的资源或者路由的时候，用户应该在拜访申请中蕴含 JWT 令牌。通常这个令牌是存储在 HTTP 申请的头部信息，个别会应用 Authorization 字段，应用 Bearer 模式。
Http 头部发送给后盾所蕴含的内容看起来如下所示：
Authorization: Bearer <token>
在某些状况下，能够应用无状态的受权机制。服务器上受爱护的路由将会查看随着拜访提交的 JWT 令牌。如果令牌是无效的，用户将会被容许拜访特定的资源。
如果 JWT 令牌中蕴含有必要的信息，服务器的服务端将不须要再次对数据库进行查问以放慢访问速度。当然，不是所有的时候都能够这样进行解决。
当令牌随着头部中的 Authorization 信息一起发送，那么咱们不须要应用 cookies，因而跨域拜访（Cross-Origin Resource Sharing (CORS)）也不应该成为一个问题。
上面的示例图展现了 JWT 是如何被取得的，同时也展现了 JWT 是如何被应用来拜访服务器 API 的。
- 应用程序或者客户端，通过对受权服务器的拜访来取得受权。这个可能有不同的受权模式。例如，通常咱们能够应用 OpenID Connect 提供的规范的受权地址来进行受权，请参考链接：http://openid.net/connect/。通常来说一个规范的受权地址为 /oauth/authorize，并且应用上面相似的规范受权流程，请参考链接：http://openid.net/specs/openid-connect-core-1_0.html#CodeFlowAuth 中的内容。
- 当受权实现后，受权服务器将会返回拜访令牌（access token）给利用。
- 利用应用取得的令牌来拜访收到爱护的资源（例如 API）等。
须要留神的是，通过应用了签名的令牌，只管用户可能没有方法对应用的令牌进行批改，然而令牌中蕴含的所有信息将会裸露给用户或者其余的利用。因而，你不应该在你的令牌中存储密钥或者任何的敏感信息。
https://www.ossez.com/t/json-web-tokens/532