一.jwt token 是什么样子的
JWT是由三段信息构成的,将这三段信息文本用点
链接一起就构成了Jwt字符串
# JWT字符串
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ
二.JWT的构成
第一部分我们称它为头部(header)
jwt的头部承载两部分信息:
1是声明数据类型 这里用jwt
2是加密算法 这里用 HMAC SHA256
格式例:
{
'typ': 'JWT',
'alg': 'HS256'
}
然后将头部进行base64编码,其中的”=“号占位符替换为”“(也就是空字符),构成了第一部分:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
第二部分我们称其为载荷(payload, 类似于飞机上承载的物品)
载荷就是存放有效信息,这些有效信息包含三个部分
· 标准中注册的声明(JWT官方规定的,建议但不强制使用) :
· iss: jwt签发者
· sub: jwt所面向的用户
· aud: 接收jwt的一方
· exp: jwt的过期时间,这个过期时间必须要大于签发时间
· nbf: 定义在什么时间之前,该jwt都是不可用的.
· iat: jwt的签发时间
· jti: jwt的唯一身份标识,主要用来作为一次性token,从而回避重放攻击。
· 公共的声明
公共的声明可以添加任何的信息,一般添加用户的相关信息或其他业务需要的必要信息,但不建议添加敏感信息,因为该部分在客户端可解码.
· 私有的声明
私有声明是提供者和消费者所共同定义的声明,一般不建议存放敏感信息,因为base64是对称解码的,意味着该部分信息可以归类为明文信息。
payload格式例:
{
"sub": "1234567890",
"name": "John Doe",
"admin": true
}
然后将其进行base64编码,”=“号占位符替换为”“,得到Jwt的第二部分。
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9
第三部分是签名(signature)
jwt的第三部分是一个签名信息,由三部分组成:
· header (base64后的)
· payload (base64后的)
· secret
这个部分需要base64编码后的header和base64编码后的payload使用.
连接组成的字符串,然后通过header中声明的加密方式进行加盐secret
组合加密,然后base64编码,就构成了jwt的第三部分。
HMACSHA256(base64UrlEncode(header) + "." +base64UrlEncode(payload),secret)
将这三部分用`.`连接成一个完整的字符串,构成了最终的jwt
# jwt tokend:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ