什么是JWT？JSON Web Token (JWT) 详解什么是JWT JSON Web Token (JWT) 是

JSON Web Token (JWT) 详解

什么是JWT

JSON Web Token (JWT) 是一种开放标准(RFC 7519)，用于在各方之间安全地传输信息作为JSON对象。JWT可以被验证和信任，因为它是数字签名的。JWT可以使用密钥(HMAC算法)或使用RSA或ECDSA的公钥/私钥对进行签名。

JWT的结构

JWT由三部分组成，用点(.)分隔：

Header(头部)
Payload(有效载荷)
Signature(签名)

因此，一个典型的JWT看起来是这样的：xxxxx.yyyyy.zzzzz

1. Header

Header通常由两部分组成：

令牌的类型(即JWT)
使用的签名算法，如HMAC SHA256或RSA

例如：

{
  "alg": "HS256",
  "typ": "JWT"
}

然后，这个JSON被Base64Url编码形成JWT的第一部分。

2. Payload

Payload包含声明(claims)。声明是关于实体(通常是用户)和附加数据的语句。有三种类型的声明：

注册声明(Registered claims): 一组预定义的声明，不是强制的但建议使用，如iss(issuer), exp(expiration time), sub(subject), aud(audience)等
公开声明(Public claims): 可以自定义的声明
私有声明(Private claims): 用于在同意使用它们的各方之间共享信息的自定义声明

示例Payload:

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true,
  "iat": 1516239022
}

Payload也被Base64Url编码形成JWT的第二部分。

3. Signature

要创建签名部分，你需要获取编码后的header、编码后的payload、一个密钥、header中指定的算法，然后签名。

例如，使用HMAC SHA256算法：

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

签名用于验证消息在传输过程中没有被更改，并且对于使用私钥签名的令牌，它还可以验证JWT的发送者是否是它所说的那个人。

JWT的工作流程

认证：用户使用凭据登录
令牌生成：服务器验证凭据并生成JWT返回给客户端
令牌存储：客户端存储JWT(通常在localStorage或cookie中)
API请求：客户端在后续请求的Authorization头中发送JWT
令牌验证：服务器验证JWT并处理请求
响应：服务器向客户端返回响应

JWT的优点

无状态：服务器不需要存储会话信息，因为JWT自包含
跨域友好：适合单页应用(SPA)和跨域API调用
可扩展性：可以轻松添加自定义声明
安全性：使用签名确保数据完整性
标准化：基于开放标准，多种语言支持

JWT的安全考虑

敏感数据：不要在JWT中存储敏感数据，因为Payload可以被解码
令牌过期：始终设置合理的过期时间(exp claim)
HTTPS：始终通过HTTPS传输JWT
存储安全：在客户端安全存储JWT(考虑HttpOnly, Secure标志)
令牌撤销：实现令牌黑名单或短过期时间来处理撤销

JWT的实际应用

// Node.js中使用jsonwebtoken库的示例
const jwt = require('jsonwebtoken');

// 生成令牌
const token = jwt.sign(
  { userId: 123, role: 'admin' },
  'your-secret-key',
  { expiresIn: '1h' }
);

// 验证令牌
jwt.verify(token, 'your-secret-key', (err, decoded) => {
  if (err) {
    // 令牌无效
    return;
  }
  console.log(decoded); // { userId: 123, role: 'admin', iat: ..., exp: ... }
});

总结

JWT提供了一种简洁、自包含的方式在各方之间安全传输信息。它特别适用于分布式系统的身份验证和信息交换场景。然而，正确实现JWT需要考虑多种安全因素，以确保系统的整体安全性。