JWT是令牌格式标准，OAuth是授权框架；JWT由Header.Payload.Signature三部分组成，用于服务端签发、客户端携带、服务端校验；OAuth 2.0实现第三方授权委托，不处理认证本身，常返回JWT格式的Access Token。
JWT（JSON Web Token）和OAuth是两种不同层级的概念：JWT是一种令牌格式标准，用来安全地传递声明；OAuth（尤其是OAuth 2.0）是一种授权框架，定义了客户端如何代表用户获取访问权限。它们常一起使用，但不能混为一谈。
JWT 是什么？怎么用在身份验证中？
JWT 是一个紧凑、自包含的字符串，由三部分组成（Header.Payload.Signature），通常用于在服务端签发、客户端携带、服务端校验的会话凭证。
- 登录成功后，后端生成 JWT（如用
jsonwebtoken库），包含用户 ID、角色、过期时间等信息，并签名防篡改 - 前端将 JWT 存在 localStorage 或 httpOnly Cookie 中（推荐后者更安全）
- 后续请求在
Authorization: Bearer头里带上它 - 后端收到请求后，验证签名、检查过期、解析 payload，确认身份和权限
OAuth 2.0 是什么？它解决什么问题？
OAuth 2.0 不是认证协议，而是“授权委托”协议——允许第三方应用在用户同意的前提下，以用户身份访问其在另一平台（如 GitHub、微信）的数据，而无需拿到用户密码。
- 典型流程：用户点击“用 GitHub 登录” → 跳转到 GitHub 授权页 → 用户同意 → GitHub 返回授权码 → 你的后端用码换 Access Token → 再用 Token 获取用户基本信息
- 你自己的系统不存用户密码，也不直接处理登录逻辑，而是信任 GitHub 的认证结果
- Access Token 可以是 JWT 格式（常见），也可以是 opaque 字符串（由授权服务器内部管理）
JWT 和 OAuth 的关键区别
角色不同： JWT 是“怎么装数据”，OAuth 是“怎么拿数据”。你可以不用 OAuth 用 JWT 做简单登录；也可以用 OAuth 却不用 JWT（比如返回随机字符串 token）。
立即学习“Java免费学习笔记（深入）”；
职责边界：
- JWT 自身不解决“用户从哪来”“要不要弹授权框”“能不能撤回权限”等问题
- OAuth 定义了角色（Resource Owner、Client、Auth Server、Resource Server）、流程（Authorization Code、PKCE、Client Credentials 等）和安全要求
- 当你的 API 同时作为 Resource Server 时，它可能用 JWT 解析并校验 OAuth 返回的 Access Token
实际开发中怎么选或怎么配合？
如果你做的是内部系统、移动端 App 或前后端分离的小项目，常用方案是：
- 自己实现用户名密码登录 → 后端签发 JWT → 前端携带 → 后端校验 JWT（此时没用 OAuth）
- 想支持“微信/支付宝一键登录” → 集成 OAuth 2.0 流程 → 拿到用户 OpenID/UnionID → 创建本地账号或绑定 → 再签发你自己的 JWT 给前端用
- 微服务架构中，网关统一校验 JWT，各服务只解析不验签（需共享密钥或用公钥），提升性能
基本上就这些。理解清楚“JWT 是载荷格式，OAuth 是协作流程”，就不会纠结该用哪个了。
