JWT从认识、起飞到落地
1、JWT认识
1.1 什么是JWT ?
JWT是JSON Web Token的缩写,即JSON Web令牌,是一种自包含令牌。
1.2 透明令牌与自包含令牌
2、JWT起飞
2.1 JWT的用处
1、多web服务器下实现无状态分布式身份验证。
2、JWT 最重要的作用就是对 token信息的防伪。
2.2 JWT的原理
一个JWT由三个部分组成:JWT头、有效载荷、签名哈希,最后由这三者组合进行base64编码得到JWT。
2.3 JWT的结构
从图中可以看到,JWT为一个很长的字符串,一共是三段。
分别是头、有效载荷、签名哈希。
2.3.1 JWT头
JWT头部分是一个描述JWT元数据的JSON对象,如下所示。
{
"alg":"HS256",
"typ":"JWT"
}
其中,
- alg表示签名使用的算法,默认为 HMAC SHA256 ,简称HS256;
- typ表示令牌类型,JWT令牌统一写为JWT;
最后,使用Base64Url将上述对象转换为字符串保存。
Base64Url算法
JWT头和有效载荷序列化的算法都用到了Base64URL。该算法和常⻅Base64算法类似,稍有差别。
作为令牌的JWT可以放在URL中(例如api.example/?token=xxx)。 Base64中用的三个字符是"+“,”/“和”=“,由于在URL中有特殊含义,因此Base64URL中对他们做了替换:”=“去掉,”+“用”-“替换,”/“用”_"替换,这就是Base64URL算法。
注意:base64编码,并不是加密,只是把明文信息变成了不可⻅的字符串。但是其实只要用一些工具就可以把base64编码解成明文,所以不要在JWT中放入涉及私密的信息。
2.3.2 有效载荷
有效载荷部分,是JWT的主体内容部分,也是一个JSON对象,包含需要传递的数据。JWT指定七个默认字段供选择。
sub: 主题
iss: jwt签发者
aud: 接收jwt的一方
iat: jwt的签发时间
exp:jwt的过期时间,这个过期时间必须要大于签发时间
nbf: 定义在什么时间之前,该jwt都是不可用的.
jti:jwt的唯一身份标识,主要用来作为一次性token,从而回避重放攻击
除以上默认字段外,我们还可以自定义私有字段,如下例:
{
"userName":"Java3q",
"age":"x",
"address":"xxx"
}
默认情况下JWT是未加密的,任何人都可以解读其内容,因此不要构建隐私信息字段,存放保密信息,以防止信息泄露。JSON对象也使用Base64 URL算法转换为字符串保存。
2.3.3 签名哈希
签名哈希部分是对上面两部分数据签名,通过指定的算法生成哈希,以确保数据不会被篡改。
首先,需要指定一个密钥(secret)。该密钥仅仅为保存在服务器中,并且不能向用户公开。然后,使用标头中指定的签名算法(默认情况下为HMAC SHA256)根据以下原理生成签名。
HMACSHA256(base64UrlEncode(header) +"."+base64UrlEncode(claims), secret)
代码中的签名原理实现逻辑如下:
@Override
public JwtBuilder signWith(SignatureAlgorithm alg, String base64EncodedSecretKey) {
Assert.hasText(base64EncodedSecretKey, "base64-encoded secret key cannot be null or empty.");
Assert.isTrue(alg.isHmac(), "Base64-encoded key bytes may only be specified for HMAC signatures. If using RSA or Elliptic Curve, use the signWith(SignatureAlgorithm, Key) method instead.");
byte