JWT

最新推荐文章于 2024-06-26 22:36:00 发布
最新推荐文章于 2024-06-26 22:36:00 发布
阅读量142 收藏
点赞数
分类专栏： 内功心法 # spring-framework 文章标签： JWT
原文链接：https://zhuanlan.zhihu.com/p/86937325
版权

目录

 

1. JSON Web Token是什么

2. 什么时候你应该用JSON Web Token

3. JSON Web Token的结构是什么样的 

Header

Payload

Signature

4. JSON Web Tokens是如何工作的

5. 基于Token的身份认证 与 基于服务器的身份认证

5.1 基于服务器的身份认证

5.2. JWT与Session的差异

5.3. 基于Token的身份认证是如何工作的

5.4. 用Token的好处

5.5. JWT与OAuth的区别

1. JSON Web Token是什么

JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。

2. 什么时候你应该用JSON Web Token

下列场景中使用JSON Web Token是很有用的：

  • Authorization (授权) : 这是使用JWT的最常见场景。一旦用户登录，后续每个请求都将包含JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是现在广泛使用的JWT的一个特性，因为它的开销很小，并且可以轻松地跨域使用。
  • Information Exchange (信息交换) : 对于安全的在各方之间传输信息而言，JSON Web Tokens无疑是一种很好的方式。因为JWT可以被签名，例如，用公钥/私钥对，你可以确定发送人就是它们所说的那个人。另外，由于签名是使用头和有效负载计算的，您还可以验证内容没有被篡改。

3. JSON Web Token的结构是什么样的 

JSON Web Token由三部分组成，它们之间用圆点(.)连接。这三部分分别是：

  • Header

  • Payload

  • Signature

header典型的由两部分组成：token的类型（“JWT”）和算法名称（比如：HMAC SHA256或者RSA等等）。存储值用BASE64算法编码。

{
    'alg': "HS256",
    'typ': "JWT"
}

Payload

payload，它包含声明（要求）。声明是关于实体(通常是用户)和其他数据的声明。声明有三种类型:

  • Registered claims : 标准中注册的声明（建议但不强制使用）
iss: jwt签发者
sub: jwt所面向的用户
aud: 接收jwt的一方
exp: jwt的过期时间，这个过期时间必须要大于签发时间
nbf: 定义在什么时间之前，该jwt都是不可用的.
iat: jwt的签发时间
jti: jwt的唯一身份标识，主要用来作为一次性token。
  • Public claims : 公共的声明可以添加任何的信息，一般添加用户的相关信息或其他业务需要的必要信息.但不建议添加敏感信息，因为该部分在客户端可解密.
  • Private claims : 私有声明是提供者和消费者所共同定义的声明，一般不建议存放敏感信息，因为base64是对称解密的，意味着该部分信息可以归类为明文信息。

这些claim跟JWT标准规定的claim区别在于：

JWT规定的claim，JWT的接收方在拿到JWT之后，都知道怎么对这些标准的claim进行验证(还不知道是否能够验证)；

而private claims不会验证，除非明确告诉接收方要对这些claim进行验证以及规则才行。

{
    "sub": '1234567890',
    "name": 'john',
    "admin":true
}

payload需要进行BASE64编码

 

Signature

jwt的第三部分是一个签证信息，这个签证信息由三部分组成：

header (base64后的)

payload (base64后的)

secret

为了得到签名部分，你必须有编码过的header、编码过的payload、一个秘钥，签名算法是header中指定的那个，然对它们签名即可。这个部分需要base64加密后的header和base64加密后的payload使用.连接组成的字符串，然后通过header中声明的加密方式进行加盐secret组合加密，然后就构成了jwt的第三部分。

 

HMACSHA256(     
            base64UrlEncode(header) + "." + base64UrlEncode(payload) 
            , secret
          )

签名是用于验证消息在传递过程中有没有被更改，并且，对于使用私钥签名的token，它还可以验证JWT的发送方是否为它所称的发送方。

 

4. JSON Web Tokens是如何工作的

在认证的时候，当用户用他们的凭证成功登录以后，一个JSON Web Token将会被返回。此后，token就是用户凭证了，你必须非常小心以防止出现安全问题。一般而言，你保存令牌的时候不应该超过你所需要它的时间。

无论何时用户想要访问受保护的路由或者资源的时候，用户代理（通常是浏览器）都应该带上JWT，典型的，通常放在Authorization header中，用Bearer schema。

header应该看起来是这样的：

Authorization: Bearer

服务器上的受保护的路由将会检查Authorization header中的JWT是否有效，如果有效，则用户可以访问受保护的资源。如果JWT包含足够多的必需的数据，那么就可以减少对某些操作的数据库查询的需要，尽管可能并不总是如此。

如果token是在授权头（Authorization header）中发送的，那么跨源资源共享(CORS)将不会成为问题，因为它不使用cookie。

5. 基于Token的身份认证 与 基于服务器的身份认证

5.1 基于服务器的身份认证

在讨论基于Token的身份认证是如何工作的以及它的好处之前，我们先来看一下以前我们是怎么做的：

HTTP协议是无状态的，也就是说，如果我们已经认证了一个用户，那么他下一次请求的时候，服务器不知道我是谁，我们必须再次认证

传统的做法是将已经认证过的用户信息存储在服务器上，比如Session。用户下次请求的时候带着Session ID，然后服务器以此检查用户是否认证过。

这种基于服务器的身份认证方式存在一些问题：

  • Sessions : 每次用户认证通过以后，服务器需要创建一条记录保存用户信息，通常是在内存中，随着认证通过的用户越来越多，服务器的在这里的开销就会越来越大。
  • Scalability : 由于Session是在内存中的，这就带来一些扩展性的问题。
  • CORS : 当我们想要扩展我们的应用，让我们的数据被多个移动设备使用时，我们必须考虑跨资源共享问题。当使用AJAX调用从另一个域名下获取资源时，我们可能会遇到禁止请求的问题。
  • CSRF : 用户很容易受到CSRF攻击。

5.2. JWT与Session的差异

相同点是，它们都是存储用户信息；然而，Session是在服务器端的，而JWT是在客户端的。

Session方式存储用户信息的最大问题在于要占用大量服务器内存，增加服务器的开销。

而JWT方式将用户状态分散到了客户端中，可以明显减轻服务端的内存压力。

Session的状态是存储在服务器端，客户端只有session id；而Token的状态是存储在客户端。

5.3. 基于Token的身份认证是如何工作的

基于Token的身份认证是无状态的，服务器或者Session中不会存储任何用户信息。没有会话信息意味着应用程序可以根据需要扩展和添加更多的机器，而不必担心用户登录的位置。

虽然这一实现可能会有所不同，但其主要流程如下：

-用户携带用户名和密码请求访问 -服务器校验用户凭据 -应用提供一个token给客户端 -客户端存储token，并且在随后的每一次请求中都带着它 -服务器校验token并返回数据

 

注意：

-每一次请求都需要token -Token应该放在请求header中 -我们还需要将服务器设置为接受来自所有域的请求，用Access-Control-Allow-Origin: *

5.4. 用Token的好处

  •  无状态和可扩展性：

Tokens存储在客户端。完全无状态，可扩展。我们的负载均衡器可以将用户传递到任意服务器，因为在任何地方都没有状态或会话信息。

  • 安全：

Token不是Cookie。（The token, not a cookie.）每次请求的时候Token都会被发送。而且，由于没有Cookie被发送，还有助于防止CSRF攻击。即使在你的实现中将token存储到客户端的Cookie中，这个Cookie也只是一种存储机制，而非身份认证机制。没有基于会话的信息可以操作，因为我们没有会话!

还有一点，token在一段时间以后会过期，这个时候用户需要重新登录。这有助于我们保持安全。还有一个概念叫token撤销，它允许我们根据相同的授权许可使特定的token甚至一组token无效。

5.5. JWT与OAuth的区别

  • OAuth2是一种授权框架 ，JWT是一种认证协议
  • 无论使用哪种方式切记用HTTPS来保证数据的安全性
  • OAuth2用在使用第三方账号登录的情况(比如使用weibo, qq, github登录某个app)，而JWT是用在前后端分离, 需要简单的对后台API进行保护时使用。

 

 

 

demon7552003
关注
专栏目录
【SpringBoot】44、SpringBoot中整合JWT实现Token验证（整合篇）
Asurplus
02-28 21万+
什么是JWT？ Json web token (JWT)，是为了在网络应用环境间传递声明而执行的一种基于 JSON 的开放标准（(RFC 7519)，该 token 被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景。JWT 的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。 为什么需要JWT? 当我们开发前后端分离项目时，要求我们对用户会话状态要进行一
JWT - 令牌认证（认证流程和原理、Jwt 工具类、搭配 Redis 使用）
CYK_byte的博客
10-13 1万+
1. 首先前端将用户名和密码发送给后端，后端对用户名和密码校验成功后，会将用户 id 和其他信息作为 payload ，然后将其分别进行 Base64 编码，拼接，最后再签名，形成一个 JWT（Token）. 形成的 JWT 就形同 xxx.yyy.zzz 这种结构的字符串.http 协议是一种无状态的协议，也就意味着当用户第一次通过用户名和密码登录成功以后，下一次再请求的时候，用户还需要再进行登录才行，因为根据 http 协议，我们不能知道是哪个用户发出的请求.
Jwt简介
苍穹尘的博客
05-24 2378
 JSON Web Token（缩写 JWT）是目前最流行的跨域认证解决方案，是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。 一、跨域认证的问题  HTTP协议是无状态的，也就是说，如果我们已经认证了一个用户，那么他下一次请求的时候，服务器不知道我是谁，我们必须再次认证。  互联网服务...
JWT详解
baobao的博客
07-07 27万+
本文从本人博客搬运，原文格式更加美观，可以移步原文阅读：JWT详解 JWT简介 1.什么是JWT 在介绍JWT之前，我们先来回顾一下利用token进行用户身份验证的流程： 客户端使用用户名和密码请求登录 服务端收到请求，验证用户名和密码 验证成功后，服务端会签发一个token，再把这个token返回给客户端 客户端收到token后可以把它存储起来，比如放到cookie中 客户端每次向服务端请求资源时需要携带服务端签发的token，可以在cookie或者header中携带 服务端收到请求，然后去验证客户端请
JWT和Token之间的区别
分享思想，留下痕迹。
11-24 14万+
✅作者简介：大家好，我是Leo，热爱Java后端开发者，一个想要与大家共同进步的男人😉😉✨特色专栏：🥭本文内容：JWT和Token之间的区别，欢迎大家访问📚个人知识库：，欢迎大家访问。
Jwt
weixin_45174537的博客
09-06 1652
1. JWT是什么 JSON Web Token (JWT)，它是目前最流行的跨域身份验证解决方案 JWT的精髓在于：“去中心化”，数据是保存在客户端的。 2. JWT的工作原理 1、是在服务器身份验证之后，将生成一个JSON对象并将其发送回用户，示例如下： {"UserName": "Chongchong","Role": "Admin","Expire": "2018-08-08 20:15:...
JWT产生和验证Token
热门推荐
yjclsx的博客
07-31 44万+
Token验证 　　最近了解下基于 Token 的身份验证，跟大伙分享下。很多大型网站也都在用，比如 Facebook，Twitter，Google+，Github 等等，比起传统的身份验证方法，Token 扩展性更强，也更安全点，非常适合用在 Web 应用或者移动应用上。Token 的中文有人翻译成 “令牌”，我觉得挺好，意思就是，你拿着这个令牌，才能过一些关卡。 传统的Token验证 ...
JWT鉴权
wdy00000的博客
04-25 1978
文章目录一、什么是JWT二、JWT能做什么三、JWT介绍以及和传统Session的区别1)基于传统的Session认证2)基于JWT认证四、JWT的构成和认证流程五、JWT的优缺点 一、什么是JWT JSON Web Token (JWT) is an open standard (RFC 7519) that defines a compact and self-contained way for securely transmitting information between parties as a
JWT 认证机制
m0_54007573的博客
06-26 1092
JWT 认证机制
jwt在线解密网站，可用于jwt的解码
03-10
JSON Web Token（JWT）是一种开放的标准（RFC 7519），定义了一种紧凑的、自包含的方式来安全地在各方之间传输信息作为一个JSON对象。这种信息可以被验证和信任，因为它是数字签名的。JWT被广泛用于身份验证和授权...
jwthelper：JWT令牌生成器
02-24
JWT令牌生成器 生成私钥（jwt.salt）和jwt令牌的助手 该泊坞窗映像有助于快速创建私钥和JWT令牌。 可用版本 您可以通过“ 页面查看所有可从Docker Hub提取的图像。 以“更改类型”字词开头的Docker标记名称（例如...
asp.net中用到的JWT身份验证 JWT.dll 下载
08-07
ASP.NET中的JWT（JSON Web Tokens）身份验证是一种广泛采用的安全机制，用于在Web应用程序中实现无状态的身份验证。JWT是一个开放标准（RFC 7519），定义了一种紧凑、自包含的方式来安全地在各方之间传输信息作为...
thinkphp+jwt实现前后端分离
03-15
本项目是基于Thinkphp6框架和JWT（Json Web Token）技术实现的前后端分离示例，旨在帮助开发者理解如何在实际项目中运用这两种技术。 **Thinkphp6** 是一个轻量级、高性能的PHP框架，具有良好的模块化设计，支持MVC...
机械原理课程设计 破碎机.doc
最新发布
09-21
机械原理课程设计 破碎机.doc
电子设计论文施密特触发器电子设计论文施密特触发器
09-21
电子设计论文施密特触发器电子设计论文施密特触发器
电子设计论文往返式流动灯电子设计论文往返式流动灯
09-21
电子设计论文往返式流动灯电子设计论文往返式流动灯
基于深度学习来实现序列到序列.zip
09-21
深度学习是机器学习的一个子领域，它基于人工神经网络的研究，特别是利用多层次的神经网络来进行学习和模式识别。深度学习模型能够学习数据的高层次特征，这些特征对于图像和语音识别、自然语言处理、医学图像分析等应用至关重要。以下是深度学习的一些关键概念和组成部分： 1. **神经网络（Neural Networks）**：深度学习的基础是人工神经网络，它是由多个层组成的网络结构，包括输入层、隐藏层和输出层。每个层由多个神经元组成，神经元之间通过权重连接。 2. **前馈神经网络（Feedforward Neural Networks）**：这是最常见的神经网络类型，信息从输入层流向隐藏层，最终到达输出层。 3. **卷积神经网络（Convolutional Neural Networks, CNNs）**：这种网络特别适合处理具有网格结构的数据，如图像。它们使用卷积层来提取图像的特征。 4. **循环神经网络（Recurrent Neural Networks, RNNs）**：这种网络能够处理序列数据，如时间序列或自然语言，因为它们具有记忆功能，能够捕捉数据中的时间依赖性。 5. **长短期记忆网络（Long Short-Term Memory, LSTM）**：LSTM 是一种特殊的 RNN，它能够学习长期依赖关系，非常适合复杂的序列预测任务。 6. **生成对抗网络（Generative Adversarial Networks, GANs）**：由两个网络组成，一个生成器和一个判别器，它们相互竞争，生成器生成数据，判别器评估数据的真实性。 7. **深度学习框架**：如 TensorFlow、Keras、PyTorch 等，这些框架提供了构建、训练和部署深度学习模型的工具和库。 8. **激活函数（Activation Functions）**：如 ReLU、Sigmoid、Tanh 等，它们在神经网络中用于添加非线性，使得网络能够学习复杂的函数。 9. **损失函数（Loss Functions）**：用于评估模型的预测与真实值之间的差异，常见的损失函数包括均方误差（MSE）、交叉熵（Cross-Entropy）等。 10. **优化算法（Optimization Algorithms）**：如梯度下降（Gradient Descent）、随机梯度下降（SGD）、Adam 等，用于更新网络权重，以最小化损失函数。 11. **正则化（Regularization）**：技术如 Dropout、L1/L2 正则化等，用于防止模型过拟合。 12. **迁移学习（Transfer Learning）**：利用在一个任务上训练好的模型来提高另一个相关任务的性能。 深度学习在许多领域都取得了显著的成就，但它也面临着一些挑战，如对大量数据的依赖、模型的解释性差、计算资源消耗大等。研究人员正在不断探索新的方法来解决这些问题。
美国扩大电动汽车充电基础设施政策（英文）.pdf
09-21
政策背景与动机： 签署法案：2021年11月15日，拜登总统签署了《基础设施投资和就业法案》（IIJA），旨在通过多项措施推动美国电动汽车充电基础设施的扩张。 市场增长：随着电动汽车市场的快速增长，对充电基础设施的需求也日益增加，政府政策成为推动这一发展的关键力量。 电动汽车充电基础： 充电技术：电动汽车充电技术通常分为三级，各级充电速度和功率不同，满足不同场景下的充电需求。 充电站类型：包括公共、私人及工作场所充电站，各自具有不同的访问限制和使用特点。 市场趋势与现状： 市场增长：EV市场增长依赖技术进步、成本降低及充电便利性的提高。 充电站数量：截至2022年10月，美国公共和私人充电站总数超过50,000个，其中93%为公共充电站。 区域差异：充电站分布存在地区差异，部分低收入社区充电基础设施不足。 政策与项目： NEVI公式计划：通过IIJA设立的国家电动汽车基础设施（NEVI）公式计划，为各州提供资金以建设EV充电站。 税收抵免：扩展了替代燃料汽车加油站的税收抵免政策，包括EV充电站，以激励投资者。 联合办公室：DOT和DOE成立联合办公室，负责NEVI计划的实施和监管，确保
SpringBoot整合JWT实战指南
"在SpringBoot应用中使用JWT的实践指南" 在现代Web开发中，安全性是至关重要的，尤其是在构建RESTful API时。JSON Web Token（JWT）作为一种轻量级的身份验证机制，被广泛应用于SpringBoot项目中。JWT允许在不存储...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值