常见的JWT到底有什么用？

什么是jwt

JSON Web token简称JWT， 是用于对应用程序上的用户进行身份验证的标记。它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的，使用 JWTS 的应用程序不再需要保存有关其用户的 cookie 或其他session数据。此特性便于可伸缩性, 同时保证应用程序的安全。

在身份验证过程中, 当用户使用其凭据成功登录时, 将返回 JSON Web token, 并且必须在本地保存 (通常在本地存储中)。每当用户要访问受保护的路由或资源 (端点) 时, 用户代理(user agent)必须连同请求一起发送 JWT, 通常在授权标头中使用Bearer schema。后端服务器接收到带有 JWT 的请求时, 首先要做的是验证token。

使用场景

• Authorization (授权) : 这是使用JWT的最常见场景。一旦用户登录，后续每个请求都将包含JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是现在广泛使用的JWT的一个特性，因为它的开销很小，并且可以轻松地跨域使用。
• Information Exchange (信息交换) : 对于安全的在各方之间传输信息而言，JSON Web Tokens无疑是一种很好的方式。因为JWTs可以被签名，例如，用公钥/私钥对，你可以确定发送人就是它们所说的那个人。另外，由于签名是使用头和有效负载计算的，您还可以验证内容没有被篡改。

数据结构

JWT由三部分组成，它们之间用圆点(.)连接,分别是：Header(头部) 、Payload(负载)、Signature(签名)即：Header.Payload.Signature,下面我们一一了解：

1、header

Header 部分是一个 JSON 对象，描述 JWT 的元数据，通常是下面的样子。

json { "alg": "HS256", "typ": "JWT" }

上面代码中，alg属性表示签名的算法(algorithm)，默认是 HMAC SHA256(写成 HS256)；typ属性表示这个令牌(token)的类型(type)，JWT 令牌统一写为JWT。将上面的 JSON 对象使用 Base64URL 算法转成字符串。

payload

Payload 部分也是一个 JSON 对象，用来存放实际需要传递的数据。它包含Claim。Claim中存的就是这些字段，有三种类型：

Registered claims 预定义的声明 - Public claims 公开声明 - Private claims 私有声明

JWT 规定了7个Registered claims: iss (issuer)：签发人 exp (expiration time)：过期时间 sub (subject)：主题 aud (audience)：受众 nbf (Not Before)：生效时间 iat (Issued At)：签发时间 jti (JWT ID)：编号 除了官方字段，你还可以在这个部分定义私有字段。注意：JWT默认是明文展示，任何人都可以读取到，所以此处不要放私密信息.

signature

Signature 部分是对前两部分的签名，防止数据篡改。

首先，需要指定一个密钥(secret)。这个密钥只有服务器才知道，不能泄露给用户。然后，使用 Header 里面指定的签名算法(默认是 HMAC SHA256)，按照下面的公式产生签名。HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

签名是用于验证消息在传递过程中有没有被更改，并且，对于使用私钥签名的token，它还可以验证JWT的发送方是否为它所称的发送方。

算出签名以后，把 Header、Payload、Signature 三个部分拼成一个字符串，每个部分之间用"点"(.)分隔，就可以返回给用户。

调试的时候，大家可以把自己生成的密钥，放到官网进行解读；或者，比较自己与官方生成的密钥是否一致