由于SessionId存放在Cookie中，所以无法避免CSRF攻击。 sign: 对header和payload部分的签名，先指定秘钥，把header和payload进行base64转换，使用header中指定的加密算法加密。 用户访问网站 a.com 下的 pageA 页面…