JWT（JSON Web Token）的基本原理(1)，前端秋招面试题2024

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新Web前端全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上前端开发知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以添加V获取：vip1024c （备注前端）

正文

Payload 部分也是一个 JSON 对象，用来存放实际需要传递的数据。JWT 规定了7个官方字段，供选用。

iss (issuer)：签发人

exp (expiration time)：过期时间

sub (subject)：主题

aud (audience)：受众

nbf (Not Before)：生效时间

iat (Issued At)：签发时间

jti (JWT ID)：编号

六、Signature

---

Signature 部分是对前两部分的签名，防止数据篡改。

首先，需要指定一个密钥（secret）。这个密钥只有服务器才知道，不能泄露给用户。然后，使用 Header 里面指定的签名算法（默认是 HMAC SHA256），按照下面的公式产生签名。

HMACSHA256(

base64UrlEncode(header) + “.” +

base64UrlEncode(payload),

secret)

算出签名以后，把 Header、Payload、Signature 三个部分拼成一个字符串，每个部分之间用"点"（.）分隔，就可以返回给用户。

七、JWT 的使用方式

---

客户端收到服务器返回的 JWT，可以储存在 Cookie 里面，也可以储存在 localStorage。

此后，客户端每次与服务器通信，都要带上这个 JWT。你可以把它放在 Cookie 里面自动发送，但是这样不能跨域，所以更好的做法是放在 HTTP 请求的头信息Authorization字段里面。

八、JWT 的几个特点

---

（1）JWT 默认是不加密，但也是可以加密的。生成原始 Token 以后，可以用密钥再加密一次。

（2）JWT 不加密的情况下，不能将秘密数据写入 JWT。

（3）JWT 不仅可以用于认证，也可以用于交换信息。有效使用 JWT，可以降低服务器查询数据库的次数。

（4）JWT 的最大缺点是，由于服务器不保存 session 状态，因此无法在使用过程中废止某个 token，或者更改 token 的权限。也就是说，一旦 JWT 签发了，在到期之前就会始终有效，除非服务器部署额外的逻辑。

（5）JWT 本身包含了认证信息，一旦泄露，任何人都可以获得该令牌的所有权限。为了减少盗用，JWT 的有效期应该设置得比较短。对于一些比较重要的权限，使用时应该再次对用户进行认证。

（6）为了减少盗用，JWT 不应该使用 HTTP 协议明码传输，要使用 HTTPS 协议传输。

九、基本语法

---

jwt.sign(payload, secretOrPrivateKey)：生成JWT字符串

jwt.verify(token,secretOrPublicKey):验证token的合法性

jwt.decode(token)

十、后台生成JWT

---

let express = require(‘express’);

let cors = require(‘cors’);

let jwt = require(‘jsonwebtoken’);

let app = express();

app.use(cors());

app.use(express.urlencoded({ extended: false }))

//模拟数据

let users = [{

id: 1,

username: ‘Kei’,

password: 123

}, {

id: 2,

username: ‘Lily’,

password: 456

}, {

id: 3,

username: ‘Zhang’,

password: 789

}]

const secret = ‘adjhgfeouwiemvcgdhjhlahujsnjfhdhusjhfdkjjdgjhhhikjm’

app.post(‘/login’, (req, res) => {

let flag = false; //默认失败

let username = req.body.username;

let password = req.body.password;

for (let i = 0; i < users.length; i++) {

if (users[i].username == username && users[i].password == password) {

flag = true;

res.send({

msg: ‘登录成功’,

token: jwt.sign({

userinfo: users[i],

exp: new Date().getTime() + 60000

}, secret)

})

return;

} else {

flag = false;

}

}

if (!flag) {

res.send({

msg: ‘登录失败，用户名或密码不存在’

})

}

})

app.listen(5000, function() {

console.log(5000);

})