JWT适用场景
https://www.jianshu.com/p/af8360b83a9f
适用于一次性操作的认证，颁布一个很短过期时间的JWT给浏览器。
无状态的JWT无法实现精确的在线人数统计。
建议使用https协议，因开销问题取决于公司。
利用cookie存储token需要注意
1、cookie有大小限制（通常为4k）；
2、和浏览器有cookie数量限制（例如Firefox每个域名cookie限制为50个）；
3、若用localstorage存储token，需防止xss攻击；
刷新jwt token
https://www.jianshu.com/p/78e15a1ac7f2
jwt不能记录客户端信息，所以一旦token失效，客户端必须重新获取token
在token中加入refreshtoken，设置exp时间为t，设置refreshtoken为2t
如果客户端携带失效token请求服务器
服务器验证token失效，验证refreshtoken是否失效，若未失效则创建新的token，并放回给客户端
客户端接收请求内容，并将新返回的token覆盖原始token，下次访问携带新token
jwt token盗用
https://segmentfault.com/q/1010000010003323/a-1020000010004454
因为jwt属于无状态服务，所有信息都存储于客户端，对于token盗用问题可使用一下方案
1、使用HttpOnly提升cookie安全性，可防止XSS攻击、使用https协议、
将JWT通过HTTP header发送给服务端（而不是通过cookie自动发送）可以有效防护CSRF
2、使用有状态的session，同时可以解决服务器可控问题
扩充
cookie使用HttpOnly
在Cookie中包含httponly属性时为true，Cookie 不允许通过JS来读写。可防止XSS攻击。
为什么在请求头写token并且使用https就安全了
http协议传输的数据都是未加密的，为明文传输。
http 是超文本传输协议，信息是明文传输，https 则是具有安全性的 ssl 加密传输协议。
http 和 https 使用的是完全不同的连接方式，用的端口也不一样，前者是 80，后者是 443。
http 的连接很简单，是无状态的；HTTPS 协议是由 SSL+HTTP 协议构建的可进行加密传输、身份认证的网络协议，比 http 协议安全。
https就是http的安全版本，但是https需要ca证书，一般需要收费
参考