目錄

​ AI的真實感一直是遊戲AI程序員追求的目標，如何做出能給玩家真實感，挑戰性又不會勸退玩家的AI，既需要AI程序員有一定的程序功底，還需要廣泛地閱讀和遊戲人工智能相關的課題，比如：心理學，生物學，認知科學乃至軍事戰術等，在你閱讀時你會不斷迸發出更好的想法；還需要和團隊多溝通，無論是程序員還是策劃，甚至是老闆，他們有時一個好的想法就能為你設計的遊戲AI增強真實性。

​ 請牢記一點：遊戲AI的真實感需要服務於遊戲本身，其唯一目的是讓玩家玩遊戲覺得更有趣。

雖然本篇博客會較少代碼講解，但更多地是希望講解一些學習AI過程中遇到的或想到的方法，然後可以根據做的遊戲的不同將這些想法融入設計的遊戲AI里。

1.讓AI”不完美”–估算和假設

​ 遊戲AI並非越智能越好，因為就算是人類，有時也會犯錯，所以為了讓遊戲AI更真實，有時需要讓遊戲AI犯錯，才會使玩家有更愉快的遊戲體驗(而不是被電腦打爆)。

有兩種方式誘使AI犯錯：

1. 先使AI“完美”，再讓它變傻

2. 當設計AI使用的算法時，通過假設和估算，允許悄悄混進“錯誤”。

​ 以足球AI為例，前者用一個取值為一個固定大小範圍的隨機值的變量作為干擾值(隨機噪聲)，使AI每次判斷踢球方向時產生小錯誤；後者是讓AI用圓而非橢圓(估算)來描述對手的截球範圍，既簡化了AI算法，又實現”不完美“。當然，在不同的遊戲里如何使AI犯錯就得因遊戲而論了。

​ 而在不少FPS遊戲里，在遊戲AI第一次射擊玩家時讓其專門射偏是一個好主意，能提醒玩家有AI的出現，在未受傷前做好準備。尤其在玩家需要探索一間充滿敵人的屋子時，給了玩家一個了解基本形勢的機會並量力而行，不至於一進門就被集火殺死。

​ 射偏還有其他好處：

1. 比如射偏的是飛行軌跡明顯或者會留下痕迹的箭，火箭等，讓它故意射偏在玩家的視野範圍之內會大大提高遊戲的刺激感
2. 當玩家瀕臨死亡時，故意讓AI射擊準確性降低，會讓玩家有一個體驗困境中躲過槍林彈雨，最後堅強獲勝的驚心動魄的機會(像美國槍戰大片那樣)，大大提高遊戲的有趣性。

2 AI感知

​ 對於許多類遊戲而言，想讓AI看起來智能，需要AI有精確的感知模仿，並不是說簡單地模仿立體視覺和聽力，還要其決策邏輯和其感知能力保持一致。

有些遊戲不太需要這種感知模擬，一是它會佔用不少的CPU和內存的資源，二是有些遊戲使用這種感知模擬並不會提升遊戲體驗。

全能感知

1.你安靜地接近一個敵人AI打算背後刺殺，結果他立刻轉過身一槍把你秒了(可能聽到眨眼睛的聲音)。

【我起了，一槍秒了，有什麼好說的】

2.你潛行在黑暗處匍匐前行，旁邊一個守衛明明看不到暗處，就突然發現了你，給你來了一槍。

【是不是玩不起？AI開掛實錘】

​ 這就是典型的具有全能的感知能力的AI，這可能是因為AI程序員為了輕鬆或沒有考慮到事實和感知，這樣的AI只會讓玩家失去玩遊戲的興趣。因此需要將AI的視覺和聽覺限製得與玩家一樣，聽力範圍限制，無法看到黑暗裡的物品，視力範圍90°，不能透視等。

​ 這又牽扯出一個經典的話題：AI可以作弊嗎？

​ 這裏的作弊不僅指的是AI使用了玩家不能使用的能力，或者單方面獲取比玩家更多的信息，獲得更多資源，還包括AI擁有程序員設計的完善的決策設計，當他能夠打敗玩家時卻放棄了那個可以獲勝的決策而製造出失誤的表象，也就是放水。

​ 我認為是可以的。其實大部分遊戲的AI都是會作弊的，除非沒必要，比如紅警，街霸，還有不少戰略遊戲裏面，AI都是會作弊的，因為這樣能更快速有效地給玩家製造緊迫感，實現難度控制。 需要給予作弊能力的關鍵在於玩家和遊戲AI之間天生處於不平等地位。

​ 大部分AI還未能實現自我學習的能力，都是靠經驗豐富的遊戲AI程序員花費大量時間去模擬玩家實現接近玩家的AI，而且目前費了好大勁實現的自主學習的AI又其實與會作弊的AI(指的是作弊得恰到好處的)給予玩家的遊戲體驗的差別並不大，廠商為了遊戲體驗和成本，街機廳的老闆為了恰飯，所以才會選擇了給予作弊。

​ 在《可汗：戰爭之王2》(一款即時戰略遊戲)中，有兩個巧妙的作弊:

1. 在探索地圖時，每30秒左右給AI一個隨機的機會作弊，如果有機會作弊，就讓AI去探索有些好東西的區域，這可以幫助我們避免AI不幸碰巧沒找到任何附近的資源的狀況發生。
2. 在一個區域內保持和對手的實力相近，這使得我們能夠分配合理的兵力去進攻和防守，以避免兵力部署的徒勞無功。

​ 歸根結底，當且僅當AI作弊能提高玩家體驗時，就應該讓AI作弊。但記得一點：讓你的AI作弊得不易被發現，否則就是另一種狀況了。

圖為《可汗:戰爭之王2》

特定感覺無知

​ 1.你和精英怪單挑，一套下去發現打不過，瀕臨死亡被逼到角落陰暗處，精英怪丟失了目標不再攻擊，回到原本看守的地方，你莫名其妙活下來了。

​ 2.你刺殺了一位守衛，他臨死前叫了一聲，一群守衛立刻趕來，你來不及隱藏屍體就躲進衣櫃，緊張地準備着守衛發現屍體后搜索房間時的一場惡戰，結果他們從屍體上踩了過去，彷彿沒看到屍體。

​ 這些情況是因為AI感知得太少，也說明了為了讓AI更真實，需要一種機制讓AI模仿人類的短期記憶。

​ 在我博客所參考的那本書里舉了個很生動的例子：

​ 當一名AI遇到兩名玩家，他的視野里有兩名與他距離不同的分別位於左右的玩家，兩條線表示視野

​ 當他判斷左邊那個玩家離他更近，對他威脅程度更大時，他往左邊轉準備攻擊左邊玩家，這時他一左轉右邊玩家丟失在他視野之外(AI也就不會再警惕右邊玩家)

​ 然後那名玩家(丟失在右邊視野的)直接走到AI右邊將其殺死

​ 這個例子就很形象說明了AI需要短期記憶，不然若遊戲裏面發生上面所舉這個例子，玩家會強烈地感覺到: 我上當了！他不是人！

​ 至於如何實現短期記憶，視你所期望的遊戲效果而自由改變，一般是以一個值作為可記憶時間，用最後敵人出現的位置作為記錄，增加相應的決策判斷，並在下次發現該對象時更新記憶系統相關信息，當超過記憶時間或決策判斷不會對自身產生影響則將其移除於記憶系統。

3 AI的個性

​ 不同的AI如果有不同的角色設計，就需要在其AI行為方面表現其個性，就算沒有角色設計，也應該盡量避免所有的AI的思考方式是一致的(容易讓玩家感受到虛假感)，以產生有隨機個性的AI。

​ 簡單來說，因為AI的行為決策系統計算不同行為的期望值分數都被限制在同一範圍內(如 0~1)，那我們可以通過對每個分數乘以其所需個性趨向的一個偏移常量，就能輕鬆生成有不同個性特點的AI。比如FPS遊戲里，膽小的人永遠會把自己的生存放在第一位而較為謹慎，所以將其對藥品和防具的尋找行為的期望值偏量設為1.5，而暴躁好鬥的人會更趨向於進攻，所以將其攻擊目標的行為期望值偏量設為1.5。

​ 如果你的遊戲設計要求一個角色的個性在該遊戲中保持不變，那你就需要為每個具有個性的角色建立單獨的腳本文件，用來存放其所有特性數據。如果你的遊戲設計沒有什麼角色個性設計，那麼你也可以在決策系統中計算期望值分數時加入一個固定大小範圍的隨機個性偏移量，以生成不同行為趨向的角色。

​ 而除了隨機個性偏移量，有些時候還會由角色設計而增加更多個性化的選擇趨向，如武器方面，說話方式，甚至塑造人物精神，增加犧牲自我，保護隊友的決策。

​ 在使命召喚中我印象最深的是格里戈斯上士 ，臨危之際不忘把隊友”肥皂” 拖向掩體！然後自己卻與敵人繼續交火，獻出了自己的生命，當時玩的時候感覺非常的感動，確定是塑造了一位有血有肉的有偉大精神的真實角色形象。

圖右一為格里戈斯上士

4 AI的預判

​ 首先是一些遊戲不太需要AI具有預判性，比如：說galgame,劇情解密類；而一些遊戲就需要具有預判性的AI，比如說：策略類遊戲，棋類遊戲。具有一定的預判性的AI會給玩家帶來驚喜，真實感與挑戰性(不要盲目增強，如果整個阿爾法狗出來就直接勸退玩家了)。

​ 簡單的預判比如說：

​ 當地圖上的某些特定的物件即將重生時，比如說LOL裏面的野區資源，又或者說是守望先鋒裏面固定點重新刷新的醫療包，出色的玩家會提前準備好前往目標處以保證搶先佔有它，那就可以讓遊戲AI用算法提前預計最近的即將再生或未被奪取的資源點，並規劃路徑前往。

圖為lol里蓋倫預判敵人路過補視野草叢埋伏

​ 又或者是在攻擊和追逐敵人時計算移動目標位置時加入敵人的速度及運動方向，預判其下個時間的位置進行追逐或攻擊。

​ 複雜的預判比如說：

​ 在FPS遊戲中，出色的老兵在打傷了敵人後，會提前到距離受傷敵人最近的醫療包處進行埋伏，當敵人到來時給予致命一擊。那麼遊戲AI也可以模仿這種預判思維，在攻擊成功判斷後添加一個搜索並前往離受傷者最後出現的地方最近的醫療包處進行埋伏的決策，可以想象到玩家如果遇到這種會預判的電腦時的驚訝，並激起其挑戰慾望。

​ 當然，預判總會有失策的時候，人類有時不也是如此，比如有些玩家不去找醫療包，或者摸清AI的習慣(只會埋伏最近那個醫療點)等情況，那麼就提醒你，不能所有AI都是具有同樣的預判思想(可以通過AI個性來生成不同思考方式的AI)，甚至就如一個玩笑：我預判到你預判到我會預判，於是我不預判了。沒有預判的AI也許就是具有最強預判性的AI呢？滑稽.jpg

5 AI的智能等級

​ 正如一本書中寫道：老謀深算的AI應該跟它的壽命成正比。倘若設計一個採用了前沿技術，具有複雜思考系統的AI，但如果它在遊戲中僅僅被期望活幾秒鐘的話，那將毫無意義。

​ 而且AI的智能程度也需要與其設計的角色的智能等級相匹配。比如說一個戰爭策略遊戲里，不同的士兵有不同的軍銜，比如 上尉、中尉、少尉 等，越高軍銜的軍官一般會有越高的智能等級，所以需要相應地提高其智能程度，比如加入較為複雜的戰略決策。

​ 而拿簡單的舉例：假如你在遊戲里潛行時不小心發出聲響，那麼普通守衛只是過來看了看周圍，沒發現什麼人就又回到原來的崗位，而精英守衛就可以加入更為精明或謹慎的行為：先往發出聲響的地方(如草場)掃射一下，若沒發現異常才將狀態改為正常守衛，返回其守衛處，或者加入殺個回馬槍的決策。這些有趣的謹慎行為也會讓玩家更不敢把AI當成是傻瓜，甚至感受到樂趣。不過還是記住設計AI的原則，不要讓AI過於謹慎導致玩家喪失樂趣。

是否需要絕對的真實？

先來看看兩個例子

1. 如果AI足夠聰明，當他遭遇到過一次玩家並進行對戰後便能意識到自己沒有機會戰勝玩家，此時選擇一個隱蔽的地方(如房門后)進行埋伏玩家死活不肯主動出擊，這樣的做法無疑是最明智的。
2. 如果玩家控制的角色在遊戲中受到的傷害達到一定程度，玩家一定會讓角色逃離戰場或者試圖進行恢復，但如果AI這麼做，那麼玩家就不得不進行追殺，玩家殺死他就十分困難。

這兩種結果就使得遊戲要麼像一個埋伏式(持久戰)的較量，要麼像比賽追逐的遊戲，兩種情況無疑都比較無聊。所以絕對的真實也可能帶來遊戲有趣性的下降。

​ 雖然追求AI能給人帶來真實感，但玩家其實也有一定的寬容能力，具有瑕疵的AI他們也會自行腦補:畢竟它終究是個AI。所以不必過分追求真實，又不能輕視AI真實感對於遊戲體驗的提升的重要性，還是牢記最重要的一點，也是追求AI的真實感的唯一目的：讓遊戲更有趣！

參考學習自《遊戲人工智能編程案例精粹》《遊戲人工智能》

轉載標明出處：作者AMzz 博客：

本站聲明:網站內容來源於博客園,如有侵權,請聯繫我們,我們將及時處理

【其他文章推薦】

※USB CONNECTOR掌控什麼技術要點? 帶您認識其相關發展及效能

※評比前十大台北網頁設計、台北網站設計公司知名案例作品心得分享

※智慧手機時代的來臨，RWD網頁設計已成為網頁設計推薦首選

※評比南投搬家公司費用收費行情懶人包大公開

目錄

簡介

寫這篇博客主要是為了進一步了解如何將CNN當作Encoder結構來使用，同時這篇論文也是必看的論文之一。該論文證明了使用CNN作為特徵抽取結構實現Seq2Seq，可以達到與 RNN 相接近甚至更好的效果，並且CNN的高并行能力能夠大大減少我們的模型訓練時間（本文對原文中不清晰的部分做了梳理，建議與原文搭配服用）

原文鏈接：

模型結構如下圖所示：

下面對模型的每個部分進行分塊介紹：

Position Embeddings

卷積網絡和Transformer一樣，不是類似於RNN的時序模型，因此需要加入位置編碼來體現詞與詞之間的位置關係

• 樣本輸入的詞向量：\(w = (w_1, w_2, …, w_n)\)
• 樣本位置編碼：\(p = (p_1, p_2, …, p_n)\)
• 最終詞向量表徵：\(e = (w_1 + p_1, w_2 + p_2, …, w_n + p_n)\)

GLU or GRU

GLU和GTU是在同一篇論文中提出的，其中，GLU也是CNN Seq2Seq的主要結構。可以直接將其當作激活函數來看待，其將某以卷積核的輸出輸入到兩個結構相同的卷積網絡，令其中一個的輸出為\(A\)，另一個為\(B\)。
GLU與GRU的區別就在於A輸出的激活函數不同：
\[GLU：H_0=A \otimes \sigma (B)\]

\[GTU：H_0=tanh(A) \otimes \sigma (B)\]

而CNN Seq2Seq就採用了GLU作為模型的激活函數

原文鏈接：

Convolutional Block Structure

編碼器與解碼器都是由多個卷積層構成的(原文中稱為block，實際上就是layer)，每一層包含一個1維卷積核以及一個門控線性單元(Gated linear units, GLU)。假設單詞數即輸入長度為\(m\)，kernel大小為\(k\)，pad為\(p\)，那麼計算輸出sequence長度的公式為\((m+2p-k)/stride+1\)，只要適當的設置卷積核的kernel大小、pad以及步長參數，即可使得輸出序列與輸入序列的維度保持一致。在文中，輸入為25，kernel為5，則輸出序列長度為\((25+2*2-5)/1+1=25\)。

另外，為了充分讓輸出節點跟整個sequence單詞有聯繫，必須使用多個卷積層，這樣才能使得最後一個卷積核有足夠大得感受野以感受整個句子的特徵，同時也能捕捉局部句子的特徵。

來看一下整個編碼器的前向傳播方式：

• 每次輸入到卷積核的句子的大小為\(X \in R^{k\times d}\)，表明每次卷積核能夠讀取的序列長度為\(k\)，也就是卷積核的寬度為\(k\)，詞向量維度為\(d\)
• 卷積核的權重矩陣大小為\(W^{2d \times k \times d}\)，偏置向量為\(b_W \in R^{2d}\)，表明每一層有\(2d\)個卷積核，因此輸出序列的維度為\(2d\)，而由於事先的設計，使得輸入序列與輸出序列的長度是相同的，因此經過卷積之後，得到的序列的矩陣大小為\(Y \in R^{k \times 2d}\)。
• 我們將上面的\(2d\)個卷積核分為兩個部分，這兩個部分的卷積核尺寸與個數完全相同，輸出維度也完全相同，則可以將其當作\(GLU\)的兩個輸入，輸入到GLU整合過後，輸出的序列維度又變為了\(\hat{Y} \in R^{k \times d}\)
• 為了能夠實現深層次的網絡，在每一層的輸入和輸出之間採用了殘差結構
• 對於解碼序列來說，我們需要提取解碼序列的隱藏表徵，但是解碼序列的解碼過程是時序遞歸的，即我們無法觀測到當前預測對象之後的序列，因此論文作者將輸入的decoder序列

這樣的卷積策略保證了每一層的輸入與輸出序列的一一對應，並且能夠將其看作簡單的編碼器單元，多層堆疊以實現更深層次的編碼。

Multi-step Attention

對於Attention的計算，關鍵就是找到 Query、Key 和 Value。下圖為計算Attention且解碼的示意圖

Attention的計算過程如下：

• Query由decoder的最後一個卷積層的輸出\(h_i^l\)以及上一時刻decoder最終的生成的目標\(g_i\)共同決定，\(W^l_d\)與\(b_d^l\)為線性映射的參數。
  \[d_i^l = W^l_dh^l_i+b_d^l+g_i\]

• Key 則採用 Encoder 的輸出\(z_j^u\)，典型的二維匹配模型，將 Query 與 Key 一一對齊，計算 dot attention分數：
  \[a_{ij}^l = \frac{exp(d^l_i \cdot z^u_j)}{\sum_{t=1}^mexp(z_j^u+e_j)}\]

• Value 的值則取編碼器的輸出\(z_j^u\)以及詞向量表徵\(e_j\)之和，目的是為編碼器的輸出加上位置表徵信息。得到對應的 Value 值 \(c_i^l\) 之後，直接與當前時刻的 Decoder 輸出 \(h_i^l\) 相加，再輸入分類器進行分類。
  \[c_i^l = \sum_{j=1}^ma_{ij}^l(z_j^u + e_j)\]

Normalization Strategy

模型還通過歸一化策略來保證通過每一層模型的方差變化不會太大，這裏先簡單的記錄一下，具體的操作細節需要回去仔細琢磨代碼。歸一化的主要策略如下：

• 對殘差網絡的輸入和輸出乘以 \(\sqrt{0.5}\) 來保證輸入和輸出的方差減半（這假設兩側的方差是相等的，雖然這不是總是正確的，但是實驗證明這樣做是有效的）
• 由於注意力模塊的輸出向量為 m 個向量的加權和，因此將其乘以 \(m \sqrt{m}\) 來抵消方差的變化，其中，乘以 \(m\) 是為了將向量放大到原始的大小（實際中通常不會這麼做，但是這麼做的效果良好）
• 由於採用了多重注意力機制的卷積解碼器，作者根據注意力機制的數量來對反向傳播到編碼器的梯度進行壓縮，這可以避免編碼器接收過多的梯度信息，使得訓練變得更加平穩。

Initialization

初始化的目的與歸一化是一致的，即都是為了保證前向與後項傳播的數據方差能夠保持在一個較穩定的水準，模型初始化的策略如下：

• 此前如層都由平均值為0以及標準差為0.1的正太分佈進行初始化。
• 對於其輸出未直接輸入門控線性單元的層，我們以正態分佈 \(N(0, \sqrt{1/n_l})\) 來初始化權重，其中 \(n_l\) 是每個神經元的輸入連接個數。 這樣可以確保正太分佈的輸入的方差得以保留
• 對於輸出與GLU相連的層，我們採取不同的策略。如果GLU的輸入的均值為0且方差足夠小，則輸出方差可以近似等於輸入方差的1/4。 因此，需要初始化權重使得GLU激活的輸入具有該層輸入方差的4倍，即該層的初始化分佈為 \(N(0, \sqrt{4/n_l})\)。
• 此外，每一層的偏置 \(b\) 統一設置為0
• 另外，考慮到 dropout 也會影響數據的方差分佈，假設dropout的保留概率為p，則方差將放大為 \(1/p\) 倍，因此上述提到的初始化策略需要修正為： \(N(0, \sqrt{p/n_l})\) 以及 \(N(0, \sqrt{4p/n_l})\)

最後的實驗部分就不記錄了，有興趣的同學可以去原文里看看。

本站聲明:網站內容來源於博客園,如有侵權,請聯繫我們,我們將及時處理

【其他文章推薦】

※USB CONNECTOR掌控什麼技術要點? 帶您認識其相關發展及效能

※評比前十大台北網頁設計、台北網站設計公司知名案例作品心得分享

※智慧手機時代的來臨，RWD網頁設計已成為網頁設計推薦首選

※評比南投搬家公司費用收費行情懶人包大公開

JWT

文章基本是官網內容的翻譯，英文不錯的同學可點擊上面的鏈接直接看英文文檔。

什麼是 JWT

JWT全稱是JSON Web Token（JWT）是一個開放標準（RFC 7519），它定義了一種緊湊且自包含的方式，用於在各方之間作為JSON對象安全地傳輸信息。由於此信息是經過数字簽名的，因此可以被驗證和信任。

可以使用密鑰（HMAC算法）或使用RSA或ECDSA的公用/專用密鑰對對JWT進行簽名。

什麼時候使用 JWT 驗證

• 授權（Authorization）
  這是使用JWT的最常見情況。一旦用戶登錄，每個後續請求將包括JWT，從而允許用戶訪問該令牌允許的路由，服務和資源。單一登錄是當今廣泛使用JWT的一項功能，因為它的開銷很小並且可以在不同的域中輕鬆使用。
• 信息交換（Information Exchange）
JWT是在各方之間安全地傳輸信息的好方法。因為可以對JWT進行簽名（例如，使用公鑰/私鑰對），所以您可以確保發件人是他們所說的人。另外，由於簽名是使用Header和payload計算的，因此您還可以驗證內容是否未被篡改。

JWT 的結構格式

由三部分組成，這些部分由點.分隔，分別是：

• Header
• Payload
• Signature

因此，JWT通常如下所示。

xxxxx.yyyyy.zzzzz

Header

通常由兩部分組成：

• 令牌的類型（即JWT）
• 所使用的簽名算法，例如： 或。

例如：

{
  "alg": "HS256",
  "typ": "JWT"
}

然後，將此JSON通過Base64Url編碼以形成JWT的第一部分。

Payload

令牌的第二部分是有效負載，其中包含聲明。聲明是有關實體（通常是用戶）和其他數據的聲明。共有三種類型的索賠： registered、public、private claims

• Registered claims
  這些是一組預定義的權利要求，不是強制性的，而是建議使用的，以提供一組有用的可互操作的權利要求。其中一些是：iss（發出者），exp（到期時間），sub（主題），aud（受眾） 等。
  Tip: 請注意，聲明名稱僅是三個字符，因為JWT是緊湊的。
• Public claims
  這些可以由使用JWT的人員隨意定義。但是為避免衝突，應在IANA JSON Web令牌註冊表中定義它們，或將其定義為包含抗衝突名稱空間的URI。
• Private claims
  這些是自定義聲明，旨在在同意使用它們的各方之間共享信息，既不是註冊聲明也不是公共聲明。

有效負載示例：

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}

同樣需要Base64Url編碼，以形成JWT的第二部分。

Signature

簽名(Signature)用於驗證消息在整個過程中沒有更改，並且對於使用私鑰進行簽名的令牌，它還可以驗證JWT的發送者是它所說的真實身份。

例如，如果要使用HMAC SHA256算法，則將通過以下方式創建簽名：

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

將這三部分合併

輸出是三個由.分隔的Base64-URL字符串，可以在HTML和HTTP環境中輕鬆傳遞這些字符串，與基於XML的標準（例如SAML）相比，它更緊湊。

下圖显示了一個JWT，它已對先前的Header和Payload進行了編碼，並用一個Signature。

可以在這個網頁 驗證和生成JWT

JWT 如何工作

在身份驗證中，當用戶使用其憑據成功登錄時，將返回令牌。由於令牌是憑據，因此必須格外小心以防止安全問題。通常，令牌的有效時間不宜設置過長。

Tip: 由於缺乏安全性，您也不應該將敏感的會話數據存儲在瀏覽器存儲中。

每當用戶想要訪問受保護的路由或資源時，用戶代理通常應在Bearer模式中使用授權頭髮送JWT。Header的內容應如下所示：

Authorization: Bearer <token>

在某些情況下，接口訪問並不需要身份授權。服務器的受保護路由將在Authorization Header中檢查JWT令牌是否有效，如果存在且有效，則將允許用戶訪問受保護的資源。

如果JWT包含必要的數據，則可以減少查詢數據庫中某些操作的需求。

如果令牌是在Authorization Header中發送的，則跨域資源共享 不會成為問題，因為它不使用cookie。

下圖显示了如何獲取JWT並將其用於訪問API或資源：

1. 應用程序或客戶端向授權服務器請求授權。生產JWT令牌。
2. 授予授權后，授權服務器會將訪問令牌返回給應用程序。
3. 應用程序使用訪問令牌來訪問受保護的資源（例如API）。
4. 服務器檢查JWT令牌是否有效，返回對應結果給客戶端

下圖詳細的流程：

ps:請注意，使用簽名令牌，令牌或令牌中包含的所有信息都會暴露給用戶或其他方，即使他們無法更改它。這意味着您不應將機密信息放入令牌中。

為什麼需要 JWT

對比 Simple Web Tokens (SWT) 和Security Assertion Markup Language Tokens (SAML)，看看使用JSON Web Tokens (JWT) 有什麼好處。

• 由於JSON不如XML冗長，因此在編碼時JSON的大小也較小，從而使JWT比SAML更緊湊。這使得JWT是在HTML和HTTP環境中傳遞的不錯的選擇。
• 在安全方面，SWT只能使用HMAC算法進行對稱簽名。但是JWT和SAML令牌可以使用X.509證書形式的公用/專用密鑰對進行簽名。與簽名JSON的簡單性相比，使用XML Digital Signature簽名XML而不引入模糊的安全漏洞是非常困難的。
• JSON解析器在大多數編程語言中都很常見，因為它們直接映射到對象。相反，XML沒有自然的文檔到對象映射。與SAML斷言相比，這使使用JWT更加容易。
• 關於用法，JWT是在Internet規模上使用的。這強調了在多個平台（尤其是移動平台）上對JSON Web令牌進行客戶端處理的簡便性。

如果您想了解有關JSON Web令牌的更多信息，甚至開始使用它們在自己的應用程序中執行身份驗證，請瀏覽到 頁面。

諮詢請加微信：輕撩即可。

本站聲明:網站內容來源於博客園,如有侵權,請聯繫我們,我們將及時處理

【其他文章推薦】

※USB CONNECTOR掌控什麼技術要點? 帶您認識其相關發展及效能

※評比前十大台北網頁設計、台北網站設計公司知名案例作品心得分享

※智慧手機時代的來臨，RWD網頁設計已成為網頁設計推薦首選

※評比南投搬家公司費用收費行情懶人包大公開