JWT简介

最新推荐文章于 2024-04-22 08:53:10 发布

chenping9318

最新推荐文章于 2024-04-22 08:53:10 发布

阅读量179

点赞数

文章标签： json 数据库数据结构与算法

原文链接：https://my.oschina.net/u/189332/blog/711509

版权

#什么是JWT

JWT的全称是JSON Web Token，它是一个开放的标准，定义了了一个紧凑和自包含(self-contained)的方法在端与端之间安全的传输JSON信息。传输的JSON信息因为经过了数字签名，因而可以被验证与信息。

**紧凑性： JWT的长度很小，因此可以通过URL、POST参数，HTTP消息头进行传输。 ** 自包含性： JWT的payload中包含了关于用户所需的信息，避免了数据库查询。

#JWT的通途授权： 信息交换

#JWT的结构 JWT有三个部分组成，并由点号（.）连接在一起。

xxxxx.yyyyy.zzzzz

Header本身是一个JSON字符串，它有两个值组成，第一个叫‘typ’，它标识token的类型，默认为“JWT”；第二个叫‘alg’，它标识JWT使用的哈希算法，例如，HMAC, SHA256, RSA等。

{
    "typ": "JWT",
    "alg": "HS256"
}

然后用Base64Url对JSON进行编码。

##Payload Payload部分包含了所有的声明(claim)，声明是对某个实体或者或者附加的元数据的描述语句，

JWT规范中包含了7个保留声明：

Payload需要用Base64Url进行编码。

##Signature 签名是由以上两个部分由点号连接起来之后，有加密算法生成签名字符串。

最终将这三部分组合在一起，生成最终的JWT。

#JWT存储方式 JWT可以保存在HTML5 Web Storage中也可以保存在Cookie中，一下对比这两种方式的不同。

Web Storage	Cookie
利用JS代码，从响应中取出JWT，存入 Web Stroage中	通过set-cookie 自动存入 cookie中
可自定义每次请求是否要添加JWT到报文头中	每次请求都会携带JWT
由于同一个domain下的js脚本都可以读取 Web Stroage，所以容易受到Cross-site scripting (xss) 攻击。	通过添加HttpOnly可以阻止js脚本从Cookie中读取JWT，防止xss攻击。但是该方法容易收到CSRF攻击，解决方法包括检查 Head中的Referer/Origin字段，和添加检验token等

转载于:https://my.oschina.net/u/189332/blog/711509

关注