JWT认证机制

1、JWT的组成部分

 

 

JWT的使用：

放在请求头中的Authorization字段 且后面一定要写上 Bearer 再加上JWT一串字符

 在express中使用JWT：

需要两个包：  jsonwebtoken和express-jwt

 

示例：

问：jwt.sign({username:user.username},secretKey,{expiresIn:"30s"})的返回值是什么是

答：根据您提供的参数 {username:user.username}, secretKey, {expiresIn:"30s"}，jwt.sign()函数将生成一个JWT字符串，其中负载部分包含键为username，值为user.username的JSON对象，过期时间为30秒。

因此，jwt.sign({username:user.username},secretKey,{expiresIn:"30s"})的返回值是一个字符串，表示生成的JWT，并且JWT中包含了指定的负载和选项。具体返回的字符串格式应该类似于以下示例：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VybmFtZSI6InVzZXIxMjMiLCJpYXQiOjE2MTg3NjE1MjEsImV4cCI6MTYxODc2MTUzMiwiaWF0IjoxNjE4NzYxNTIxfQ.guI7V5he5rZKNwQdQQIb1e6nB03CFkKPO6vLcsSYem0

需要注意的是，由于JWT使用了加密算法和签名，因此实际上生成的JWT字符串可能与上述示例不同，但它们都应该遵循JWT的规范格式。

问：生成的jwt字符串和参数中的secretKey有什么关系

答：生成的JWT字符串和参数中的secretKey是密切相关的。在调用jwt.sign(payload, secretOrPrivateKey, [options, callback])函数时，第二个参数secretOrPrivateKey实际上是一个秘钥，用于对JWT签名并验证其有效性。

具体来说，生成JWT字符串时，该字符串将由3部分组成，即Header、Payload和Signature。其中，Header包含指定使用的加密算法和类型；Payload包含用户定义的数据，如用户名、角色等；而Signature则是通过对Header和Payload进行哈希计算后，使用secretKey进行数字签名得到的。

因此，只有拥有与生成JWT时使用的相同的secretKey，才能够验证JWT的完整性和可靠性。如果不知道或错误地提供了secretKey，则无法成功验证JWT，并且可能会导致安全漏洞。

问：那么secretKey应该怎么写

答：在生成JWT字符串时使用的secretKey是一个秘密的字符串或者密钥，用于对JWT进行签名和验证。因此，应该遵循以下几个原则来选择和编写secretKey：

1. 随机性：secretKey应该具有足够的随机性，即无法轻易被猜测或推断出来，以保证JWT的安全性。

2. 复杂性：secretKey应该包含足够的复杂性，如大小写字母、数字和符号等，以增加其熵值（entropy），从而使攻击者更难猜测和解密。

3. 保密性：secretKey应该保持严格保密，只有授权用户才能访问，防止它被泄露或不当地使用。

4. 长度：secretKey的长度应该足够长，建议至少32个字符长，以增强JWT的可靠性和安全性。

以下是一个可以作为secretKey的示例代码片段，在实际中，您需要将其替换为您自己的随机字符串或密钥：

javascriptCopy Code：

const secretKey = "mySuperSecretKey123!@#";

注意，这里提供的仅是一个示例，实际中应该尽可能使用更加复杂和随机的字符串或密钥，并确保其保密性。

对jwt中signature（签名）的理解：

在JWT中，签名是用于验证令牌的完整性和真实性的一种机制。JWT的签名是通过对Header和Payload的内容进行哈希计算，然后使用预先共享的secret key（密钥）加密生成的数字签名。当接收方收到JWT时，它可以重新计算签名并将其与原始签名进行比较以验证JWT是否被篡改过。如果两个签名匹配，则表明JWT有效，否则它就可能已经被篡改了。因此，签名使得JWT成为一种可靠的身份验证机制。

问：使用预先共享的secret key（密钥）加密生成的数字签名 具体是怎么实现的

答：使用预先共享的密钥加密生成的数字签名是一种对称密钥加密技术。

具体实现过程如下：

1. 预共享密钥：发送方和接收方在通信之前约定共享同一个密钥，即预共享密钥。
2. 数字签名：发送方使用私钥对消息进行数字签名，得到签名值。
3. 加密：发送方使用预共享密钥对签名值进行对称加密。
4. 传输：发送方将加密后的签名值与明文消息一起传输给接收方。
5. 解密：接收方使用预共享密钥对加密的签名值进行解密，得到原始签名值。
6. 验证：接收方使用发送方的公钥和原始签名值对消息进行验证，如果验证通过则说明消息没有被篡改。

这种方法的优点是实现简单，效率高，但缺点是需要提前共享密钥，而且密钥泄露后安全性无法保证。因此，在实际应用中，可以结合其他安全方法来提升安全性。