什么信息在身份validation令牌上签名

我使用jwt与NodeJS作为我的身份validation令牌。目前，我签署的观众，IP和客户端的有效载荷。

我也把用户的guid放在有效载荷上，以便在随后的请求中，我可以使用guidfind用户; 一个guid的例子是bd262477-8b93-4f2c-9dc9-175edf6e0d14 。

这是不好的还是安全问题？我想我问的是你应该把什么信息放在有效载荷上？ guid好还是坏？

有人可以给我一个链接，解释为什么（或为什么不）有一个安全问题，你包括在令牌？

整个令牌应该被签名，保护令牌体内的所有声明。

关于什么你可以安全地放在令牌：这取决于令牌将被存储在“rest”的地方。但是一般来说，除非要encryption令牌，否则不应该将敏感信息放在令牌中（除了签名外，encryption还是第二步）

我在Stormpath工作，我们有几个关于这个话题的文章：

使用智威汤逊正确的方式！

在哪里存储您的智威汤逊 – cookies与HTML5网页存储

基于令牌的单页面应用authentication（SPA）

希望这可以帮助！