【JWT】关于JWT

JWT介绍

Json Web Token(JWT) 是一种开放标准 (RFC 7519) ，定义了在交互双方间，使用JSON对象以一种紧凑且独立的方式安全传输信息。消息可以通过数字签名进行验证和信任。JWT可以使用Secret（使用HMAC算法）或使用RSA或ECDSA的公钥/私钥对进行签名。

虽然JWT可以加密以在各方之间提供保密，但我们将专注于签名Token。 签名Token可以验证其中包含的声明的完整性，而加密Token则隐藏其他方的声明。 当使用公钥/私钥对签署Token时，签名还证明只有持有私钥的一方是签署私钥的一方。

JWT使用场景

以下是JSON Web令牌有用的一些场景：

• 认证
• 信息交换

JWT结构

在压缩的格式中，JWT包含三个部分，使用点(.)分隔：

• Header（头部）
• Payload（负载）
• Signature（签名）
  因此，JWT通常如下所示
  xxxxx.yyyyy.zzzzz 即 header.payload.signature

Header

头部通常包含两个内容：Token类型和使用的签名算法，如HMAC SHA256 或RSA.
例如：

{
  "alg": "HS256",
  "typ": "JWT"
}

该JWT头部为Base64Url编码格式。

Payload

JWT Token 的第二个部分为包含声明的Payload， 声明表明这个Token实体（通常为用户）和附加数据。即用来存放实际需要传递的数据。Payload有三种声明：registered， public，和private。

• Registered claims:这些是一组预定义的声明，它们不是强制性的，但是建议使用，以提供一组有用的，可互操作的声明。 其中一些是：iss（发行人），exp（到期时间），sub（主题），aud（观众）等。

• Public claims:这些可以由使用JWT的人随意定义。 但是为避免冲突，应在IANA JSON Web Token注册表中定义它们，或者将其定义为包含防冲突命名空间的URI。

• Private claims:这些是为在同意使用它们的各方之间共享信息而创建的自定义声明，既不是注册声明也不是公开声明。
  例如：

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}

该JWT第二部分Payload为Base64Url 编码格式。

JWT 规定了7个官方字段，供选用。

• iss (issuer)：签发人
• exp (expiration time)：过期时间
• sub (subject)：主题
• aud (audience)：受众
• nbf (Not Before)：生效时间
• iat (Issued At)：签发时间
• jti (JWT ID)：编号

Signature

要创建签名部分，必须采用编码header，编码的有效负载，秘密，header中指定的算法，并对其进行签名。
例如，如果要使用HMAC SHA256算法，将按以下方式创建签名：

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

该签名用于验证消息在此过程中未被更改，并且，在使用私钥签名的令牌的情况下，它还可以验证JWT的发件人是否是它所声称的人。

关于Base64URL

Header 和 Payload 串型化的算法是 Base64URL。这个算法跟 Base64 算法基本类似，但有一些小的不同。

JWT 作为一个令牌（token），有些场合可能会放到 URL（比如 api.example.com/?token=xxx）。Base64 有三个字符+、/和=，在 URL 里面有特殊含义，所以要被替换掉：=被省略、+替换成-，/替换成_ 。这就是 Base64URL 算法。

如何使用JWT

在认证过程中，在身份验证中，当用户使用其凭据成功登录时，将返回JSON Web令牌。 由于令牌是凭证，因此必须非常小心以防止出现安全问题。 一般情况下，不应该将令牌保留的时间超过要求。

当用户访问一个受保护的路径或资源时，用户代理发送JWT，通常放在 HTTP 请求的头信息Authorization字段里面。

Authorization: Bearer <token>

JWT 的几个特点

1. JWT 默认是不加密，但也是可以加密的。生成原始 Token 以后，可以用密钥再加密一次。
2. JWT 不加密的情况下，不能将秘密数据写入 JWT。
3. JWT 不仅可以用于认证，也可以用于交换信息。有效使用 JWT，可以降低服务器查询数据库的次数。
4. JWT 的最大缺点是，由于服务器不保存 session 状态，因此无法在使用过程中废止某个 token，或者更改 token
   的权限。也就是说，一旦 JWT 签发了，在到期之前就会始终有效，除非服务器部署额外的逻辑。
5. JWT 本身包含了认证信息，一旦泄露，任何人都可以获得该令牌的所有权限。为了减少盗用，JWT
   的有效期应该设置得比较短。对于一些比较重要的权限，使用时应该再次对用户进行认证。
6. 为了减少盗用，JWT 不应该使用 HTTP 协议明码传输，要使用 HTTPS 协议传输。