JSON Web令牌安全性

这里的任何人都知道JSON web令牌。请开导我

以下是我的理解：

客户端将通过传递username:password或api-key:secret-key来请求令牌

服务器将对其进行身份验证并生成一个令牌，该令牌将被发送回客户端

然后，客户端将通过传递该令牌来请求特定数据。e、 g.获取用户

下面是我的问题：

如何在客户端保护用户名：密码或api密钥：密钥

如果问题1没有解决方案。然后我计划在服务器端移动我的密钥。然而，我仍然感到困惑，因为我的密钥对公众不可见，但请求令牌中的url将是公众的

下面是我对问题2的设想。 设置将是：

• 第三方api
• 我的本地服务器
• 客户端

情况将是：

• 客户端将向存储密钥的本地服务器发出请求。e、 g.www.example.com/authenticate
• 我的本地服务器将向第三方api请求令牌并将其发送回客户端

我的密钥不可见，但www.example.com/authenticate对公众可见

请帮我总结一下应该使用哪一个以及应该遵循哪一种安全性