我把「JWT」拆成三块来讲：基础概念、计算方法、实操注意。每块只讲最要紧的，不水字数。
先把基本概念理清
HTTP状态码：1xx信息、2xx成功(200 OK 201 Created 204 No Content)、3xx重定向(301永久 302临时 304缓存)、4xx客户端错误(400参数错 401未认证 403禁止 404不存在 429限流)、5xx服务端错误(500内部错误 502网关 503不可用 504超时)。光看不动手永远学不透，写个小demo跑一遍胜过读十篇文章。边界情况要专门测：空值、超长、特殊字符、负数、并发。
核心要点拆解
常见请求头：Content-Type(内容类型application/json text/html)、Authorization(认证Bearer token)、User-Agent、Cookie。响应头：Set-Cookie、Access-Control-Allow-Origin(CORS)、Cache-Control、Location(重定向)。CORS跨域要服务端设置允许的源。日志要记关键节点和异常，出问题排查全靠它。生产环境要考虑异常、并发、性能，不能只测正常流程。
接着说实操
先理解概念。JWT属于开发基础知识，搞懂底层原理(编码规则、算法逻辑、协议规范)比记API更重要。原理通了，换语言换框架都能快速上手。多写多测自然熟练，开发就是踩坑填坑的循环。能成熟库就别自己造轮子，特别是加密、解析、并发这种容易出错的领域。
相关内容
再说实践。JWT这类知识，光看不动手永远学不透。写个小demo、用在线工具跑几遍、故意制造错误看报错，比读十篇文章管用。开发就是踩坑-填坑的循环。写完代码用边界案例测一遍，比读十遍代码都管用。版本控制和单元测试是基本功，别图省事跳过。
几个要注意的地方
有几个坑我得提前打个预防针：
- 301永久重定向SEO传递权重，302临时不传递
- 401是没认证(没登录)，403是没权限(登录了但无权访问)
- CORS要服务端设Access-Control-Allow-Origin，复杂请求先发OPTIONS预检
- Content-Type决定怎么解析请求体：application/json、form-urlencoded、multipart
如果你看完还是有点绕，别硬记——直接用文末的工具跑一遍，输入数字立马出结果，比背公式实在。
常见问题
【CORS跨域怎么解决？】服务端响应头设置Access-Control-Allow-Origin允许的源(可指定域名或*)、Allow-Methods允许的方法、Allow-Headers允许的头。复杂请求(PUT/DELETE或自定义头)会先发OPTIONS预检。
【401和403什么区别？】401 Unauthorized未认证(没登录或token无效，需要认证)；403 Forbidden已认证但无权限(登录了但没权限访问该资源)。404是资源不存在，400是请求参数错误。
【HTTP状态码301和302什么区别？】301永久重定向(搜索引擎更新索引)、302临时重定向(保留原URL)。SEO改域名用301传递权重，临时跳转用302。304是缓存未修改直接用本地缓存。
【JWT是什么？】属于开发基础知识范畴，是程序员日常会用到的概念或工具。理解原理(编码/算法/协议)比记API重要，原理通了换语言框架都能快速上手。
