jwt是什么

简介

JSON Web Tokens，是一种开发的行业标准 RFC 7519 ，用于安全的表示双方之间的声明。目前，jwt广泛应用在系统的用户认证方面，特别是在前后端分离项目中。

附加链接：为什么要有认证及其实现方式

1. jwt认证流程

在项目开发中，一般会按照上图所示的过程进行认证，即：用户登录成功之后，服务端给用户浏览器返回一个token，以后用户浏览器要携带token再去向服务端发送请求，服务端校验token的合法性，合法则给用户看数据，否则，返回一些错误信息。

传统token方式和jwt在认证方面有什么差异？

• 传统token方式

  用户登录成功后，服务端生成一个随机token给用户，并且在服务端(数据库或缓存)中保存一份token，以后用户再来访问时需携带token，服务端接收到token之后，去数据库或缓存中进行校验token的是否超时、是否合法。

• jwt方式

  用户登录成功后，服务端通过jwt生成一个随机token给用户（服务端无需保留token），以后用户再来访问时需携带token，服务端接收到token之后，通过jwt对token进行校验是否超时、是否合法。

2. jwt创建token

jwt的生成token格式如下，即：由 . 连接的三段字符串组成。

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

生成规则如下：

第一段HEADER部分，固定包含算法和token类型，对此json进行base64url加密，这就是token的第一段。

{
  "alg": "HS256",
  "typ": "JWT"
}

第二段PAYLOAD部分，包含一些数据，对此json进行base64url加密，这就是token的第二段

{
  "sub": "1234567890",
  "name": "John Doe",
  "iat": 1516239022
  ...
}

第三段SIGNATURE部分，把前两段的base密文通过.拼接起来，然后对其进行HS256加密，再然后对hs256密文进行base64url加密，最终得到token的第三段。

base64url(
    HMACSHA256(
      base64UrlEncode(header) + "." + base64UrlEncode(payload),
      your-256-bit-secret (秘钥加盐)
    )
)

最后将三段字符串通过 .拼接起来就生成了jwt的token。

注意：base64url加密是先做base64加密，然后再将 - 替代 + 及 _ 替代 / 。

***代码实现：***基于Python的pyjwt模块创建jwt的token

3. jwt校验token

一般在认证成功后，把jwt生成的token返回给用户，以后用户再次访问时候需要携带token，此时jwt需要对token进行超时及合法性校验。

获取token之后，会按照以下步骤进行校验：

• 将token分割成 header_segment、payload_segment、crypto_segment 三部分

• 对第一部分header_segment进行base64url解密，得到header

• 对第二部分payload_segment进行base64url解密，得到payload

• 对第三部分crypto_segment进行base64url解密，得到signature

• 对第三部分signature部分数据进行合法性校验

  • 拼接前两段密文，即：signing_input

  • 从第一段明文中获取加密算法，默认：HS256

  • 使用 算法+盐 对signing_input 进行加密，将得到的结果和signature密文进行比较。

代码实现：基于Python的pyjwt模块校验jwt的token

4. jwt实战

分别有django，django_rest_framework和flask自己实现jwt（均通过python的jwt模块实现加解密）

注：

• 原生django是通过中间件的方式实现的jwt认证
• django_rest_framework是通过认证组件方式实现的jwt认证。另django_rest_framework自带有jwt认真组件（请求头中带token），可帮助我们快速开发

链接：jwt实战

另链接中附有教学视频