问用于JWT令牌签名的HMAC-HMAC 256

EN

我目前在一家公司工作，我们需要设计一个基于令牌的认证系统。我们将拥有和控制两个服务器，一个是身份验证服务器，另一个是应用服务器。

我对计算机安全概念、威胁、常见漏洞及其对策相当熟悉，但我没有找到一个问题的答案是，在使用HMAC- sign 256签署JWT令牌时，是否需要多次散列。

因为对于像使用SHA256哈希密码这样的事情，我理解的一般规则是运行2^(2000年-2000年)(根据性能需要进行或采取)散列，所以我很难相信一轮HMAC- the 256足够好，但是在我研究这个主题时，我还没有见过有人问这个问题。

因此，给定一个秘密密钥和一个JWT令牌头和有效负载，以下哪一项被认为是令牌签名的最佳实践：

1. HMAC- JWT 256的单次迭代被认为是JWT令牌签名的安全。
2. 建议多次运行HMAC- the 256，反复使用相同的密钥。
3. 运行HMAC- the 256一次，然后从HMAC的计算中对产品执行SHA256散列迭代。(这是我认为最好的做法)
4. 我完全错了，这是不一样的。

非常感谢您的帮助。只想确保系统设计得尽可能好。