在IT安全和认证机制中， 令牌（Token）和签名（Signature） 是两个不同但常结合使用的概念。
1. 功能定位
令牌（Token）
令牌主要用于身份认证和授权。它是由服务器生成的凭证，代表用户身份或访问权限。
例如：
JWT（JSON Web Token）包含用户信息（如用户ID、角色）和有效期，用于验证客户端身份23。
Service Account的Token允许Kubernetes集群中的服务进行身份验证。
签名（Signature）
签名用于验证数据的完整性和来源。通过加密算法生成，确保数据未被篡改且来自可信方。
例如：
JWT中的签名部分用于验证令牌是否被伪造或修改。
HTTPS证书中的签名确保通信双方的身份合法性。
2. 内容与结构
令牌
通常包含明文或编码信息（如用户身份、权限、有效期）。
示例：JWT由Header（算法类型）、Payload（用户数据）、Signature（签名）三部分组成，前两部分是Base64编码的JSON数据。
格式示例：
Header.Payload.Signature
签名
是一个加密后的字符串，不直接包含业务信息。
生成方式：对原始数据（如令牌的Header+Payload）使用私钥或密钥加密，形成唯一标识。
验证方式：使用公钥或相同密钥解密并比对。
3. 使用场景
令牌
身份认证流程（如用户登录后获取访问令牌）。
授权机制（如OAuth 2.0中的Access Token）。
无状态会话管理（客户端存储Token，无需服务端记录会话）。
签名
确保API请求的完整性（如对请求参数签名防止篡改）。
验证文件或消息来源（如数字证书签名）。
保护令牌自身的安全性（如JWT的签名防止令牌伪造）。
4. 生命周期
令牌
具有有效期（如1小时、7天），过期后需重新获取。
可能被撤销（如黑名单机制）。
签名
与数据绑定，一次性验证（验证完成后即失效）。
不单独设置有效期，依赖数据本身的时效性。
5.生成与验证方式
令牌
由认证服务器生成（如使用密钥加密用户信息）。
客户端存储并传递令牌（如HTTP Header的Authorization: Bearer ）。
签名
由发送方使用私钥或密钥生成（如HMAC-SHA256算法）。
接收方使用公钥或相同密钥验证（如JWT签名验证）。
示例
JWT中的令牌与签名协作
令牌：Header.Payload部分包含用户信息和算法类型。
签名：对Header.Payload加密生成，附加在令牌末尾，形成完整JWT：
Header.Payload.Signature
服务端验证签名以信任令牌内容。
API请求防篡改
客户端对请求参数生成签名（如按参数排序后Hash）。
服务端验证签名是否匹配，确保参数未被修改。
对比表
| 维度 | 令牌（Token) | 签名(Signature) |
|---|---|---|
| 核心作用 | 身份认证与授权 | 数据完整性验证与来源认证 |
| 内容 | 包含用户信息或权限 | 加密字符串，无直接业务信息 |
| 有效期 | 有明确生命周期 | 一次性验证，与数据绑定 |
| 典型应用 | JWT、OAuth Token、Service Account | JWT签名、API防篡改、数字证书签名 |
参考文档：
深入分析集群安全机制
什么是 JSON Web 令牌
java几种常用的安全认证机制(JWT)
令牌验证 原理,深入理解令牌认证机制