JWT中token的理解以及优缺点实战结果来啦

JWT：Json Web Token。顾名思义，它是一种在Web中，使用Json来进行Token授权的方案。

既然没有找好密码，token是如何解决信任问题的呢？

解决信任问题，只需要解决两个问题即可：

token是不是来自我信任的机构颁发

token中的信息是否被篡改

对于第一个问题而言，确认token确实是由被信任的第三方颁发的，一般都是通过加密算法来建立信任，颁发时使用密钥进行加密，如果能够对加密内容进行正常解密说明token来自信任方。常用的加密算法分为：

对称可逆加密：使用同一个秘钥来加密解密，如果token能解密就能证明来源，秘钥不对外公开

非对称可逆加密：使用一组秘钥对（私钥加密+公钥解密），如果token能使用公钥进行解密就能证明来源，公钥与私钥之间互相不可推算

优缺点：

对称可逆加密效率高，速度快，但是由于对称可逆加密使用的是同一个秘钥，所以必须向解密的应用提供秘钥，相对而言不安全，所以一般只用于内部应用之间。

非对称可逆加密速度相对慢一些，但是加密时通过私钥加密而解密时只需要提供公钥即可，所以用于对外提供加密机制更加安全可靠，所以多用于向第三方提供加密服务时使用。

算法举例：

HS256
HS256 (带有 SHA-256 的 HMAC 是一种对称算法, 双方之间仅共享一个 密钥。由于使用相同的密钥生成签名和验证签名, 因此必须注意确保密钥不被泄密。

2 RS256
RS256 (采用SHA-256 的 RSA 签名) 是一种非对称算法, 它使用公共/私钥对: 标识提供方采用私钥生成签名, JWT 的使用方获取公钥以验证签名。由于公钥 (与私钥相比) 不需要保护, 因此大多数标识提供方使其易于使用方获取和使用 (通常通过一个元数据URL)。

JWT格式说明

JWT令牌格式		作用
Header	头	{ "alg": "HS256", "typ": "JWT"}
Payload