深入剖析 JWT：原理、应用场景与实战指南

最新推荐文章于 2025-04-24 11:02:52 发布

Hello-ZHE

最新推荐文章于 2025-04-24 11:02:52 发布

阅读量805

点赞数 16

文章标签： token

本文链接：https://blog.csdn.net/q68686/article/details/147412305

版权

在当今前后端分离、微服务架构盛行的技术环境下，身份认证与授权机制的设计至关重要。JSON Web Token（JWT）凭借其简洁、自包含、跨平台等特性，成为众多开发者的首选方案。本文将从 JWT 的核心概念出发，深入探讨其原理、应用场景及实践细节，帮助你全面掌握这一技术。

一、什么是 JWT？

JSON Web Token（JWT）是一种基于 JSON 的开放标准（RFC 7519），用于在网络应用间安全地传输信息。它以紧凑的格式将信息编码为字符串，通常由三部分组成：Header（头部）、Payload（负载） 和 Signature（签名），各部分通过.分隔，形如 xxx.yyy.zzz。

JWT 的核心优势在于：

自包含：Token 中携带了用户身份、权限等关键信息，服务端无需额外查询数据库即可验证和解析。
跨语言、跨平台：基于 JSON 格式，可在不同编程语言和系统间无缝传递。
简洁高效：轻量级结构适合 HTTP 等协议传输，尤其适用于微服务和移动端场景。

二、JWT 的结构详解

1. Header（头部）

Header 通常包含两部分信息：

令牌类型：一般为 JWT。
签名算法：常见的有 HS256（对称加密）、RS256（非对称加密，基于 RSA）等。
示例 JSON 格式：

json

{
  "alg": "HS256",
  "typ": "JWT"
}

经过 Base64Url 编码后，成为 JWT 的第一部分。

2. Payload（负载）

Payload 用于存放实际传输的数据，称为 声明（Claims），分为三种类型：

注册声明：官方定义的字段（如 iss - 签发者、exp - 过期时间、sub - 主题等）。
公共声明：自定义且可公开的信息（如用户 ID、用户名）。
私有声明：用于在通信双方之间共享的自定义信息。
示例 Payload：

json

{
  "sub": "1234567890",
  "name": "John Doe",
  "iat": 1516239022
}

同样经过 Base64Url 编码后，构成 JWT 的第二部分。

3. Signature（签名）

签名用于验证 Token 的完整性和真实性，防止信息被篡改。计算方式为：

plaintext

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret
)

其中，secret是服务端持有的密钥（对称加密时）或私钥（非对称加密时）。签名结果作为 JWT 的第三部分，只有持有正确密钥的服务端才能验证 Token 的有效性。

三、JWT 的工作流程

用户登录：用户在客户端输入账号密码，向服务端发起认证请求。
生成 JWT：服务端验证用户身份后，将用户信息（如 ID、权限）封装进 Payload，使用密钥生成 JWT 并返回给客户端。
携带 Token：客户端收到 JWT 后，在后续请求中通过 Authorization 头（如 Bearer <token>）或其他方式（如 URL 参数、Cookie）携带 Token。
验证 Token：服务端接收到请求后，解析 JWT，验证签名和过期时间，提取用户信息用于授权决策。

四、JWT 的典型应用场景

前后端分离项目：在单页应用（SPA）中，JWT 作为无状态的认证机制，避免服务端存储会话信息，减轻服务器压力。
微服务架构：跨服务间传递用户身份和权限信息，实现统一认证与授权。
第三方登录：OAuth 2.0 等协议中，JWT 可作为访问令牌（Access Token）传递用户授权信息。
数据传递：安全传输敏感数据，如密码重置链接中的用户标识。

五、JWT 实战：Java + Spring Boot 实现

1. 引入依赖

在 pom.xml 中添加 JJWT 库依赖：

xml

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.2</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.11.2</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.11.2</version>
    <scope>runtime</scope>
</dependency>

2. 生成与验证 JWT 的工具类

java

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

import java.util.Date;
import java.util.HashMap;
import java.util.Map;

public class JwtUtil {
    private static final String SECRET_KEY = "your_secret_key";
    private static final long EXPIRATION_TIME = 86400000; // 1天

    public static String generateToken(String username) {
        Map<String, Object> claims = new HashMap<>();
        return Jwts.builder()
                .setClaims(claims)
                .setSubject(username)
                .setIssuedAt(new Date(System.currentTimeMillis()))
                .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
                .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
                .compact();
    }

    public static String extractUsername(String token) {
        Claims claims = Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody();
        return claims.getSubject();
    }

    public static boolean validateToken(String token) {
        try {
            Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token);
            return true;
        } catch (Exception e) {
            return false;
        }
    }
}

3. 集成到 Spring Boot Controller

java

import org.springframework.web.bind.annotation.*;

@RestController
@RequestMapping("/auth")
public class AuthController {

    @PostMapping("/login")
    public String login(@RequestBody UserCredentials credentials) {
        // 验证用户名密码（此处简化，实际需查询数据库）
        if ("user".equals(credentials.getUsername()) && "password".equals(credentials.getPassword())) {
            return JwtUtil.generateToken(credentials.getUsername());
        }
        return "Invalid credentials";
    }

    @GetMapping("/validate")
    public boolean validate(@RequestHeader("Authorization") String token) {
        String jwtToken = token.replace("Bearer ", "");
        return JwtUtil.validateToken(jwtToken);
    }
}

class UserCredentials {
    private String username;
    private String password;

    // getters and setters
}