鉴权
鉴权（Authentication）是确定一个用户或系统的身份的过程。在计算机安全领域，有多种常见的鉴权方法，以下是一些主要的类型：
基于密码的鉴权
这是最常见的鉴权方法，用户通过提供用户名和密码来证明其身份。系统会将输入的密码与存储（通常是散列）的密码进行比较，如果匹配，则鉴权成功。
多因素鉴权
这种方法需要用户提供两个或更多的鉴权因素，通常包括“知道的东西”（如密码）、“拥有的东西”（如手机或安全令牌）和“是的人”（如指纹或面部识别）。
基于证书的鉴权
在这种方法中，用户或统会提供一个由可信任的证书颁发机构（CA）签发的数字证书来证明其身份。数字证书包含了证书所有者的公钥和一些身份信息，以及 CA 的数字签名
基于令牌的鉴权
这种方法中，用户首先通过用户名和密码（或其他方法）进行鉴权，然后系统会返回一个令牌（通常是 JWT，JSON Web Token）。用户可以使用这个令牌来进行后续的请求，而无需再次进行鉴权。
JWT
JSON Web Token（JWT）是一种开放标准（RFC 7519），它定义了一种紧凑且自包含的方式，用于在各方之间安全地传输信息作为 JSON 对象。这种信息可以被验证和信任，因为它是数字签名的。JWT 可以使用秘密（使用 HMAC 算法）或使用 RSA 或 ECDSA 的公钥/私钥对进行签名。
基本工作流程
- 用户登录：用户通过提供用户名和密码（或其他鉴权信息）进行登录。
- 生成 JWT：如果用户的登录信息正确（此过程还需要访问数据库验证用户信息），服务器会生成一个包含用户信息（如用户 ID）的 JWT。JWT 由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。头部通常包含了令牌的类型和所使用的加密算法；载荷包含了一些声明（Claims），这些声明是关于实体（通常是用户）和其他数据的一些信息；签名是用来验证消息没有被改变（也就是为了保证数据的完整性）。
- 发送 JWT：服务器将生成的 JWT 发送给用户。用户将此 JWT 存储在本地，例如在 cookie 或 localStorage 中。
- 使用 JWT：当用户需要访问受保护的路由或资源时，用户将 JWT 附加到请求的 Authorization 头部，然后发送给服务器。
- 验证 JWT：服务器接收到请求后，会验证 JWT 的签名。如果签名有效，服务器就知道这是一个有效的、未被篡改的 JWT，然后就会处理用户的请求。
基于生物特征的鉴权
这种方法使用用户的生物特征，如指纹、面部识别、虹膜扫描等来进行鉴权。
基于行为的鉴权
这是一种更复杂的鉴权方法，它使用机器学习或其他统计方法来分析用户的行为模式（如键盘输入模式、鼠标移动模式等），然后根据这些模式来进行鉴权。
以上各种鉴权方法各有优点和缺点，需要根据具体的应用需求和安全需求来选择合适的方法。在实践中，通常会使用多种鉴权方法的组合，以提高安全性。