Editando JSON Web Token (sección)

== Uso ==
La autorización se logra cuando el usuario ingresa sus credenciales con éxito, entonces se genera un JSON Web Token que es retornado al cliente, quien tiene que guardarlo localmente, en vez del modelo tradicional de crear una sesión en el servidor y retornar una ''[[Cookie (informática)|cookie]]''.

Siempre que el usuario quiere acceder a una ruta protegida o recurso, el cliente tiene que enviar el JWT, generalmente en el encabezado de <code>Authorization</code> utilizando el esquema <code>Bearer</code>. El contenido del encabezado HTTP se ve de la siguiente forma:

: <code>Authorization: Bearer eyJhbGci''...<snip>...''yu5CSpyHI</code>

Este es un mecanismo de autenticación sin estado - ''stateless''- ya que la sesión del usuario nunca se guarda en el proveedor de identidad o en el proveedor del servicio. Los recursos protegidos siempre comprobaran si existe un JWT válido en cada pedido de acceso. Si el token está presente y es válido, el proveedor del servicio otorga accesos a los recursos protegidos. Como los JWTs contienen toda la información necesaria en sí mismos, se reduce la necesidad de consultar la base de datos u otras fuentes de información múltiples veces.