在实际工作过程中，运行jmeter脚本的时候，开发给了一个jwt的授权信息，到底是做什么用的呢，翻阅了一些资料，整理如下:
一、JWT(Json Web Token)是什么
JWT是一串格式为xxxx.xxxx.xxxxx的字符串，在服务器和客户端之间依靠JWT安全的传递一些不加密信息。
这三个部分分别有自己的名称：header.payload.signature
二、JWT的组成
2.1：header格式如下：
{ "typ":"JWT", "alg":"HS256" }
在这里面会说明编码对象是一个JWT，以及使用“HS256”的算法进行加密， 然后由base64将这一json进行转码，生成一串字符串。
2.2：claim
claim是一个json,里面放的是JWT自身的属性，参考这个博文 https://mp.weixin.qq.com/s/vwPyBkkHQZG-ibM1OkETZw中给出的数据说明：
{ "iss":"Issuer —— 用于说明该JWT是由谁签发的", "sub":"Subject —— 用于说明该JWT面向的对象", "aud":"Audience —— 用于说明该JWT发送给的用户", "exp":"Expiration Time —— 数字类型，说明该JWT过期的时间", "nbf":"Not Before —— 数字类型，说明在该时间之前JWT不能被接受与处理", "iat":"Issued At —— 数字类型，说明该JWT何时被签发", "jti":"JWT ID —— 说明标明JWT的唯一ID", "user-definde1":"自定义属性举例", "user-definde2":"自定义属性举例" }
划重点：JWT中可以标注JWT的过期时间，这个时间在测试中可以由开发提供一个超长时间的即可。
然后将claim通过base64转码之后生成的一串字符串称作payload。
2.3：signature
将header与payload组合一起，生成一个字符串header.payload，然后再添加一个秘钥，这个是由服务器发的，用户不能看到，（服务器上也有一份相同的秘钥），用一定的加密方法进行加密，形成一个新的字符串，这个字符串就是signature，作用是确保JWT没有被篡改过。将新生成的字符串与前面的合在一起，就是JWT了。
下面这个图就简便的说明了JWT的由来：
三、JWT的使用流程
客户端每次与服务器通信，都要带上这个 JWT。你可以把它放在 Cookie 里面自动发送，但是这样不能跨域，所以更好的做法是放在 HTTP 请求的头信息Authorization字段里面
Authorization: Bearer <token>
如果header部分和payload部分被篡改，由于篡改者不知道密钥是什么，也无法生成新的signature部分，服务端拿着原始的秘钥与最新的header和payload生成字符串，与客户端篡改后的不一致，也就无法通过。