JWT简介

什么是 JSON 网络令牌？

JSON Web Token (JWT) 是一个开放标准 ( RFC 7519 )，它定义了一种紧凑且自包含的方式，用于在各方之间作为 JSON 对象安全地传输信息。该信息可以被验证和信任，因为它是经过数字签名的。JWT 可以使用秘密（使用HMAC算法）或使用RSA或ECDSA的公钥/私钥对进行签名。

在授权与信息交换时，会用到JWT：

授权：这是使用 JWT 最常见的场景。用户登录后，每个后续请求都将包含 JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是当今广泛使用 JWT 的一项功能，因为它的开销很小，并且能够轻松跨不同域使用。
信息交换：JSON Web Tokens 是一种在各方之间安全传输信息的好方法。因为 JWT 可以被签名——例如，使用公钥/私钥对——你可以确定发件人就是他们所说的那样。此外，由于使用标头和有效负载计算签名，您还可以验证内容是否未被篡改。

JWT结构

在其紧凑形式中，JSON Web Tokens 由用点 (.)分隔的三个部分组成，它们是：

标题
有效载荷
签名

因此，JWT 通常如下所示。

xxxxx.yyyyy.zzzzz

标题

标头通常由两部分组成：令牌的类型，即 JWT，以及正在使用的签名算法，例如 HMAC SHA256 或 RSA。

例如：

{
  "alg": "HS256",
  "typ": "JWT"
}

然后，这个 JSON 被Base64Url编码以形成 JWT 的第一部分。

有效载荷

令牌的第二部分是负载，其中包含声明。声明是关于实体（通常是用户）和附加数据的声明。共有三种类型的声明：注册声明、公共声明和私人声明。

注册声明：这些是一组预定义的声明，这些声明不是强制性的，而是推荐的，以提供一组有用的、可互操作的声明。其中一些是： iss（发行者）、 exp（到期时间）、 sub（主题）、 aud（受众）等。

请注意，声明名称只有三个字符，因为 JWT 是紧凑的。
公共声明：这些可以由使用 JWT 的人随意定义。但是为了避免冲突，它们应该在IANA JSON Web Token Registry中定义或定义为包含抗冲突命名空间的 URI。
私人权利：这些都是使用它们同意并既不是当事人之间建立共享信息的自定义声明注册或公众的权利要求。

一个示例有效载荷可能是这样的：

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}

然后对有效负载进行Base64Url编码以形成 JSON Web 令牌的第二部分。

请注意，对于已签名的令牌，此信息虽然受到防篡改保护，但任何人都可以读取。除非加密，否则不要将机密信息放在 JWT 的负载或标头元素中。

签名

要创建签名部分，您必须获取编码的标头、编码的有效载荷、秘密、标头中指定的算法，并对其进行签名。

例如，如果要使用 HMAC SHA256 算法，则签名将通过以下方式创建：

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

签名用于验证消息在此过程中没有更改，并且在使用私钥签名的令牌的情况下，它还可以验证 JWT 的发送者是它所说的那个人。

放在一起

JWT的输出是三个由点分隔的 Base64-URL 字符串，可以在 HTML 和 HTTP 环境中轻松传递，同时与基于 XML 的标准（如 SAML）相比更加紧凑。

下面显示了一个 JWT，它对前面的标头和有效负载进行了编码，并使用机密进行了签名。

我们可以使用jwt.io Debugger来解码、验证和生成 JWT。

JWT进行身份验证与授权

在身份验证中，当用户使用其凭据成功登录时，将返回一个 JSON Web Token。由于Token是凭证，因此必须非常小心以防止出现安全问题。通常，我们不应将Token保留的时间超过所需的时间。

每当用户想要访问受保护的路由或资源时，用户客户端应该发送 JWT，通常在使用Bearer模式的Authorization标头中。标题的内容应如下所示：

Authorization: Bearer <token>

在服务端或网关对其进行验证，验证正确后将返回所访问的资源。

JWT-cpp

下面介绍一个C++语言的JWT库，源码链接在：github.com/Thalhammer/… C++11 中创建和验证JWT的Header only库，只需要include头文件就可以使用。

解码

下面是打印出所有有效荷载的Demo

#include <jwt-cpp/jwt.h>
#include <iostream>

int main() {
    std::string token = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXUyJ9.eyJpc3MiOiJhdXRoMCJ9.AbIJTDMFc7yUa5MhvcP03nJPyCPzZtQcGEp-zWfOkEE";
    auto decoded = jwt::decode(token);

    for(auto& e : decoded.get_payload_claims())
        std::cout << e.first << " = " << e.second << std::endl;
}

验证

在验证时，需要首先创建一个验证器，然后对解码后的JWT进行验证

auto verifier = jwt::verify()
    .allow_algorithm(jwt::algorithm::hs256{ "secret" })
    .with_issuer("auth0");

verifier.verify(decoded_token);

创建

下面是创建一个JWT的Demo

auto token = jwt::create()
    .set_issuer("auth0")
    .set_type("JWS")
    .set_payload_claim("sample", jwt::claim(std::string("test")))
    .sign(jwt::algorithm::hs256{"secret"});

可以创建带有有效期的JWT，例如下面的Token会在一小时后失效

auto token = jwt::create()
    .set_issuer("auth0")
    .set_issued_at(std::chrono::system_clock::now())
    .set_expires_at(std::chrono::system_clock::now() + std::chrono::seconds{3600})
    .sign(jwt::algorithm::hs256{"secret"});

JWT Token简介与jwt-cpp使用方法｜ 8月更文挑战