JWT是令牌格式标准，OAuth是授权框架；JWT由Header.Payload.Signature三部分组成，用于服务端签发、客户端携带、服务端校验；OAuth 2.0实现第三方授权委托，不处理认证本身，常返回JWT格式的Access Token。
JWT（JSON Web Token）和OAuth是两种不同层级的概念：JWT是一种令牌格式标准，用来安全地传递声明；OAuth（尤其是OAuth 2.0）是一种授权框架，定义了客户端如何代表用户获取访问权限。它们常一起使用，但不能混为一谈。
JWT 是什么？怎么用在身份验证中？
JWT 是一个紧凑、自包含的字符串，由三部分组成（Header.Payload.Signature），通常用于在服务端签发、客户端携带、服务端校验的会话凭证。
登录成功后，后端生成 JWT（如用 jsonwebtoken 库），包含用户 ID、角色、过期时间等信息，并签名防篡改 前端将 JWT 存在 localStorage 或 httpOnly Cookie 中（推荐后者更安全） 后续请求在 Authorization: Bearer 头里带上它 后端收到请求后，验证签名、检查过期、解析 payload，确认身份和权限
OAuth 2.0 是什么？它解决什么问题？
OAuth 2.0 不是认证协议，而是“授权委托”协议——允许第三方应用在用户同意的前提下，以用户身份访问其在另一平台（如 GitHub、微信）的数据，而无需拿到用户密码。
典型流程：用户点击“用 GitHub 登录” → 跳转到 GitHub 授权页 → 用户同意 → GitHub 返回授权码 → 你的后端用码换 Access Token → 再用 Token 获取用户基本信息 你自己的系统不存用户密码，也不直接处理登录逻辑，而是信任 GitHub 的认证结果 Access Token 可以是 JWT 格式（常见），也可以是 opaque 字符串（由授权服务器内部管理）
JWT 和 OAuth 的关键区别
角色不同： JWT 是“怎么装数据”，OAuth 是“怎么拿数据”。你可以不用 OAuth 用 JWT 做简单登录；也可以用 OAuth 却不用 JWT（比如返回随机字符串 token）。
立即学习“Java免费学习笔记（深入）”；
职责边界：
JWT 自身不解决“用户从哪来”“要不要弹授权框”“能不能撤回权限”等问题 OAuth 定义了角色（Resource Owner、Client、Auth Server、Resource Server）、流程（Authorization Code、PKCE、Client Credentials 等）和安全要求 当你的 API 同时作为 Resource Server 时，它可能用 JWT 解析并校验 OAuth 返回的 Access Token
实际开发中怎么选或怎么配合？
如果你做的是内部系统、移动端 App 或前后端分离的小项目，常用方案是：
自己实现用户名密码登录 → 后端签发 JWT → 前端携带 → 后端校验 JWT（此时没用 OAuth） 想支持“微信/支付宝一键登录” → 集成 OAuth 2.0 流程 → 拿到用户 OpenID/UnionID → 创建本地账号或绑定 → 再签发你自己的 JWT 给前端用 微服务架构中，网关统一校验 JWT，各服务只解析不验签（需共享密钥或用公钥），提升性能
基本上就这些。理解清楚“JWT 是载荷格式，OAuth 是协作流程”，就不会纠结该用哪个了。
以上就是如何使用JavaScript进行身份验证_JWT和OAuth有什么区别呢的详细内容，更多请关注创想鸟其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/1543650.html
微信扫一扫 
支付宝扫一扫 
