深入理解JWT：历史、原理与实践应用

Narutolxy

已于 2024-05-09 09:54:12 修改

阅读量627

点赞数 23

分类专栏：技术干货分享 Python web 文章标签： python

于 2024-05-09 09:53:16 首次发布

本文链接：https://blog.csdn.net/Narutolxy/article/details/138600108

版权

技术干货分享同时被 2 个专栏收录

32 篇文章 0 订阅

订阅专栏

Python web

13 篇文章 0 订阅

订阅专栏

引言

在数字化时代，用户认证与数据安全性是网络应用的核心。随着技术演变，特别是在更加复杂、分布式的系统中，JSON Web Tokens（JWT）已成为一种广泛使用的认证和信息交换标准。本文将详细探讨JWT的历史、原理、工作流程，并与其他主流认证技术进行比较，同时探讨其在实际应用中的安全性和适用场景。

1. JWT的历史

JWT是一种开放标准（RFC 7519），由Internet Engineering Task Force（IETF）提出，旨在安全地在各方之间传递信息。这种技术是为了简化分布式站点或移动应用中的用户认证和信息交换而设计。随着RESTful API和微服务架构的流行，JWT由于其无状态和跨域友好的特性，成为现代网络应用中不可或缺的认证技术。

2.JWT的基本原理

2.1. 组件解析

JWT由三个主要部分组成：Header（头部）、Payload（有效载荷）、和Signature（签名）。每部分具体功能如下：

Header:
- 类型: 通常设为JWT，表示这是一个JWT。
- 算法: 如HS256、RS256，这指定了用于生成签名的加密算法。
- 示例: {"alg": "HS256", "typ": "JWT"}，通常使用Base64编码方式进行编码。
Payload:
- 声明: 存储关于用户的信息及其他必需的元数据。
  - Registered claims: 一些预定义的声明，如iss（发行者）、exp（过期时间）、sub（主题）。
  - Public claims: 自定义的、公开的声明，可以添加应用所需的任何信息。
  - Private claims: 用于在双方之间传输信息的自定义声明。
- 示例: {"user_id": 123, "username": "example_user", "exp": 1300819380}
Signature:
- 使用Header中指定的算法，结合一个秘密密钥（在服务器端存储）对Header和Payload进行签名。
- 这确保了Token在传输过程中未被篡改，并且只有拥有秘密密钥的人可以生成或验证该Token。
- 示例（伪代码）: HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

2.2. 如何编码

JWT的最终形式是将Header、Payload和Signature三部分用点（.）连接起来，每部分都使用Base64Url方式编码。
完整示例: base64UrlEncode(header).base64UrlEncode(payload).signature

3.JWT的工作流程

3.1 用户认证

用户使用自己的凭证（如用户名和密码）登录应用。
服务器验证用户凭证的合法性。如果认证成功，服务器会基于用户信息和其他规定的声明生成JWT的Payload。

3.2 生成JWT

服务器根据定义好的算法在Header中声明使用的加密方法。
将Header、Payload和服务器的密钥结合，生成Signature。
将这三部分组合并编码，形成JWT。

3.3 客户端存储

客户端收到JWT后，通常会将它存储在Cookie或LocalStorage中，以便将来发起请求时使用。

3.4 发送请求

在后续的每个请求中，客户端都会通过HTTP头部（通常是Authorization字段）将JWT发送给服务器。

3.5 服务器端验证

服务器接收到JWT后，首先会解码并验证Signature以确保JWT的真实性和完整性。
检查JWT的有效性，例如检查是否过期。
验证成功后，服务器根据JWT中的声明执行相应的操作或返回相应的资源。

3.6 python代码演示

下面我将提供一个简单的Python示例，展示如何使用JWT进行用户认证。

我们将使用PyJWT库，这是一个Python库，用于生成和验证JWT。如果你的系统尚未安装PyJWT，可以通过pip安装它：

pip install PyJWT

生成和验证JWT的Python代码示例

以下是一个简单的Python脚本，演示了如何生成一个JWT，并如何解码验证这个JWT。

import jwt
import datetime
from jwt.exceptions import ExpiredSignatureError

# 定义一个密钥，实际应用中应保持安全
SECRET_KEY = "your_secret_key"

# 用户信息和其他声明
payload = {
    "user_id": 123,  # 用户唯一标识
    "username": "example_user",
    "exp": datetime.datetime.utcnow() + datetime.timedelta(seconds=30)  # 设置过期时间为30秒后
}

# 生成JWT
token = jwt.encode(payload, SECRET_KEY, algorithm="HS256")
print(f"Generated JWT: {token}")

# 模拟等待一些时间后验证JWT
# 等待31秒后尝试解码，模拟过期情况
# time.sleep(31)  # 取消注释以测试过期情况

try:
    # 解码验证JWT
    decoded = jwt.decode(token, SECRET_KEY, algorithms=["HS256"])
    print("Decoded JWT: ", decoded)
except ExpiredSignatureError:
    print("JWT Token has expired.")

解释代码

生成JWT:
- 首先定义用户的信息（payload），包括用户ID和用户名。
- 通过jwt.encode()函数生成JWT，指定密钥和算法（这里使用HS256）。
解码和验证JWT:
- 使用jwt.decode()函数解码JWT，同时验证签名和过期时间。
- 如果JWT过期，ExpiredSignatureError异常将被抛出，我们通过异常处理来确认这一情况。