翻了下包的代码就是在 jwt 上再加一层签名…

function() sign{
 //...
 token = jwt.sign(tokendata,this.sign_key, {
    expiresIn: expires,
    algorithm: this.algorithm
  })

  //Encrypt the token
  cipher = crypto.createCipher('aes192', this.encryption_key);
  encrypted_token = cipher.update(token, 'utf8', 'base64');
  encrypted_token += cipher.final('base64');

  return encrypted_token;
}

什么是 jwt 可以参看这个 jwt.io