JWT 深度解析：结构、流程、优劣与应用全景指南-CSDN博客

本文链接：https://blog.csdn.net/pinbodeshaonian/article/details/147676114

JWT 是 JSON Web Token 的缩写，它是一种基于 JSON 的开放标准（RFC 7519），用于在网络应用程序之间安全地传输信息。以下是关于 JWT 的详细介绍：

一、JWT 结构详解

1.头部（Header）

头部通常由两部分组成：令牌的类型（即 JWT）和使用的签名算法，例如 HMAC SHA256 或者 RSA。以下是一个 JSON 格式的头部示例：

{
    "alg": "HS256",
    "typ": "JWT"
}

这个 JSON 对象会使用 Base64Url 编码，生成一个字符串作为 JWT 的第一部分。Base64Url 编码与普通的 Base64 编码类似，但它对 URL 更友好，会将+替换为-，/替换为_，并去掉末尾的=。

2.载荷（Payload）

载荷部分包含声明（Claims），声明是关于实体（通常是用户）和其他数据的声明。声明分为三种类型：

①.注册声明：这些是一组预定义的声明，不是强制要求的，但推荐使用。常见的注册声明有：

iss（Issuer）：签发者，标识 JWT 的签发实体。
sub（Subject）：主题，通常是用户的唯一标识。
aud（Audience）：受众，标识 JWT 的接收方。
exp（Expiration Time）：过期时间，指定 JWT 的过期时间戳，超过这个时间，JWT 将失效。
nbf（Not Before）：生效时间，指定 JWT 开始生效的时间戳，在这个时间之前，JWT 不可用。
iat（Issued At）：签发时间，指定 JWT 的签发时间戳。
jti（JWT ID）：JWT 的唯一标识符，用于防止 JWT 被重复使用。

②.公开声明：这些是在同意使用的各方之间定义的声明，通常是为了传递用户的自定义信息，例如用户的角色、权限等。

③.私有声明：这些是在同意使用的各方之间定义的声明，用于在这些特定的各方之间共享信息。

以下是一个载荷的示例：

{
    "sub": "1234567890",
    "name": "John Doe",
    "iat": 1516239022,
    "exp": 1516242622
}

同样，这个 JSON 对象也会使用 Base64Url 编码，生成 JWT 的第二部分。

3.签名（Signature）

要创建签名部分，需要使用编码后的头部、编码后的载荷、一个密钥（secret）和头部中指定的签名算法。例如，如果使用的是 HMAC SHA256 算法，签名将按以下方式创建：

import hmac
import hashlib
import base64

header = '{"alg": "HS256", "typ": "JWT"}'
payload = '{"sub": "1234567890", "name": "John Doe", "iat": 1516239022, "exp": 1516242622}'
secret = 'your-256-bit-secret'

# Base64Url编码头部和载荷
encoded_header = base64.urlsafe_b64encode(header.encode('utf-8')).rstrip(b'=').decode('utf-8')
encoded_payload = base64.urlsafe_b64encode(payload.encode('utf-8')).rstrip(b'=').decode('utf-8')

# 拼接编码后的头部和载荷
signing_input = f'{encoded_header}.{encoded_payload}'

# 创建签名
signature = hmac.new(secret.encode('utf-8'), signing_input.encode('utf-8'), hashlib.sha256).digest()
encoded_signature = base64.urlsafe_b64encode(signature).rstrip(b'=').decode('utf-8')

# 最终的JWT
jwt = f'{encoded_header}.{encoded_payload}.{encoded_signature}'
print(jwt)

签名用于验证消息在传输过程中没有被更改，并且在使用私钥签名的情况下，还可以验证 JWT 的发送者的身份。