jwt令牌（极简版）

一、什么是jwt令牌

JWT（JSON Web Token）是一种基于JSON的开放标准（RFC 7519），用于在网络应用间传递声明

jwt令牌的组成

jwt长什么样

eyJhbGciOiJIUzI1NiJ9.eyJwYXNzd29yZCI6IjEyMzQ1NiIsImlkIjoxLCJ1c2VybmFtZSI6Inpob3VqdSIsImV4cCI6MTY5OTIyMzgyNH0.UpZ0gkyTTjKLj68KRshR6v6eqLmtWDAOrrLgA_eOW6A

JWT令牌由三部分组成：头部、载荷和签名。

头部包含令牌的类型和加密算法，
载荷包含需要传递的信息，
签名用于验证令牌的真实性。

jwt的原理

JWT的原理是通过使用签名和加密技术，将用户的身份信息和其他相关信息安全地传输给服务器，从而实现了用户身份的认证和授权。

对于jwt的原理，详细来说，就是将用户的身份信息和其他相关信息（如权限、角色等）进行加密后生成一个token，然后将这个token发送给客户端。客户端在接收到token后，可以将其存储在本地，并在每次需要访问受保护资源时，将token发送给服务器进行验证。

服务器在收到token后，首先对token进行解密和验证签名，以确保token的完整性和真实性。然后服务器根据token中的信息来判断用户的身份和权限，从而决定是否允许用户访问受保护资源。

二、jwt令牌常见的使用场景

1.优点

1. 简洁：JWT令牌的结构比较简单，可以在HTTP请求头中传递，减少了网络传输的数据量。
2. 安全：JWT令牌使用签名来验证令牌的真实性，可以有效防止令牌被篡改。
3. 可自定义：JWT令牌的载荷可以包含自定义的信息，可以用于扩展应用的功能。
4. 便捷：JWT令牌不需要在服务端存储状态信息，可以方便地进行水平扩展

2.缺点

1. 令牌过期：JWT令牌的有效期是固定的，如果令牌过期需要重新获取令牌。
2. 令牌泄露：如果JWT令牌泄露，攻击者可以生成有效的签名，并伪造一个jwt令牌，还可以使用该令牌进行攻击。

内部核心技术

1. Base64编码：JWT令牌的头部和载荷使用Base64编码进行序列化。
2. HMAC算法：使用HMAC算法对头部和载荷进行签名，保证令牌的真实性。
3. HS256：指定使用HS256算法进行签名，提高JWT令牌的安全性
4. 令牌刷新：JWT令牌可以使用刷新令牌来延长令牌的有效期，提高了令牌的可用性。

总结

总的来说，JWT令牌是一种轻量级、安全可靠的身份认证和授权机制，适用于前后端分离的Web应用等场景。