JSON Web Token （JWT）

JSON Web Token （JWT） 简介

JSON Web Token （JWT） 是一种开放标准 （RFC 7519），它定义了一种紧凑的、自包含的方式，用于作为 JSON 对象在各方之间安全地传输信息。JWT 通常用于身份验证和授权过程中，允许用户在成功登录后，后续每个请求都携带 JWT，以便访问受保护的路由、服务和资源。

JWT 的结构

JWT 由三部分组成，它们之间用点（.）连接：

1. Header：包含 JWT 的元数据，如令牌类型（JWT）和签名算法（如 HS256）。

2. Payload：包含声明（claims），这是关于实体（通常是用户）和其他数据的声明。声明分为三种类型：注册声明（如 iss、exp、sub 等）、公有声明和私有声明。

3. 签名：对前两部分的签名，用于验证消息在传输过程中没有被篡改

JWT 的工作原理

在认证过程中，当用户使用其凭证成功登录后，会返回一个 JWT。此后，每个请求都会携带这个 JWT，以便服务器进行身份验证。服务器会在每次请求到达时检查 JWT，并从中提取用户信息，如果 JWT 有效且未过期，用户将被授予访问权限。

JWT 的优势和注意事项

JWT 在身份验证方面的优势包括其无状态性、可扩展性以及对跨域资源共享（CORS）问题的解决。然而，使用 JWT 也有一些需要注意的事项，例如必须妥善保管密钥以防篡改，以及合理设置 JWT 的过期时间以维护安全性。JWT 提供了一种安全、灵活的身份验证机制，适用于现代 web 和移动应用程序。然而，正确实施 JWT 需要考虑到安全性和性能方面的因素。

JWT 的 Header 部分通常包含哪些内容？

JWT（JSON Web Token）的Header部分通常包含以下内容：

• 令牌类型：Type:JSON Web Token
• 签名算法：alg，常用的有 HMAC SHA256（HS256）、RSA SHA256（RS256）等，

JWT 的 Payload 部分可以包含哪些类型的声明？

    1. 注册声明（Registered Claims）：这是一组预定义的声明，用于标准化和约定一些常用的字段。一些常见的注册声明包括（Issuer，签发人）、（Subject，主题）、（Expiration Time，过期时间）、（Not Before，生效时间）、（Issued At，签发时间）、（JWT ID，唯一标识符）等。

2.公共声明（Public Claims）：这些是自定义的声明，用于在各方之间共享信息。它们不是预定义的，可以根据需要定义和使用。例如，可以包含用户名、角色、邮箱地址、自定义的业务相关信息等。

3.私有声明（Private Claims）：这些是自定义的声明，用于在双方之间协商和共享信息。它们不是预定义的，可以根据需要定义和使用。私有声明的命名空间应该避免与注册声明和公共声明冲突。例如，可以包含应用程序特定的业务相关信息。

如何确保 JWT 在传输过程中不会被篡改？

1. 使用HTTPS协议：通过HTTPS协议传输JWT，可以确保数据在传输过程中的安全性，防止中间人攻击。

1. 短有效时间：设置较短的JWT有效时间，减少被篡改的风险。

1. 使用高强度加密算法：选择安全系数高的加密算法，如HS256，以提高JWT的安全性。

1. JWT和Token的区别:

   • 主要区别在于JWT不需要查询数据库即可验证Token的有效性，而Token需要服务端进行数据库查询来验证Token的有效性。
   • JWT通过使用密钥校验进行身份验证，而Token则依赖于Token的唯一性和不可逆加密算法来确保安全性。

2. 安全性:

   • JWT使用签名来验证Token的有效性，确保Token在传输过程中没有被篡改，提供了更强的安全性和可靠性。
   • 一般的Token没有这种机制，只能通过验证Token的合法性来确保安全性。

3. 无状态性:

   • JWT是无状态的，即服务端不需要保存任何用户信息，只需验证JWT的签名即可。
   • 一般的Token需要在服务端存储相关信息，如会话状态、权限等，增加了服务端的负担。

综上所述，JWT和Token在身份验证和授权中各有特点和应用场景。JWT提供了一种更简洁、更安全的方式来进行身份验证，特别适用于分布式系统和无状态的API。而Token则适用于需要在服务端存储用户相关信息的场景，如会话状态、权限管理等。