认证姿势-Jwt-基础篇

最新推荐文章于 2024-06-18 00:55:36 发布

关关长语

最新推荐文章于 2024-06-18 00:55:36 发布

阅读量326

点赞数 1

分类专栏： WPF 随笔文章标签： jwt

本文链接：https://blog.csdn.net/qq_28806349/article/details/120169557

版权

随笔同时被 2 个专栏收录

29 篇文章 1 订阅

订阅专栏

WPF

18 篇文章 0 订阅

订阅专栏

文章目录

一、定义

JSON Web Token (JWT) is an open standard (RFC 7519) that defines a compact and self-contained way for securely transmitting information between parties as a JSON object. This information can be verified and trusted because it is digitally signed. JWTs can be signed using a secret (with the HMAC algorithm) or a public/private key pair using RSA or ECDSA.

Json Web Token简称Jwt，是一种开放标准 (RFC 7519)，它定义了一种紧凑且自包含的方式，用于在各方之间数据作为JSON对象安全地传输信息。数据信息经过数字签名，可以被验证和信任。 JWT可以使用秘密（使用 HMAC算法）或使用RSA或 ECDSA的公钥/私钥对进行签名。Jwt中签名加密解密主要依靠加密令牌和签名令牌，加密令牌将信息进行加密，避免其他方知道对应声明的信息内容，签名令牌验证加密信息中声明的完整性，当使用公钥/私钥对对令牌进行签名时，签名还证明只有持有私钥的一方才是对其进行签名的一方。

二、结构

一个jwt包含以下结构：

Header
Payload
Signature

各个部分以点.进行分隔，xxxx.yyyy.zzzz。

1、Header

头部由令牌类型Jwt以及签名使用的加密算法类型组成，例如HMAC SHA256 或 RSA。该部分由Base64Url方式进行编码。

{
  "alg": "HS256",
  "typ": "JWT"
}

2、Payload

负载部分，包含了声明部分，声明是对用户实体信息以及附加数据信息的声明，分为三种类型，registered声明、public声明和private声明。

registered声明，为一组系列规则预定义的可用的，可互操作的声明，例如iss(发行者)、exp(到期时间)、sub(主题)、aud(受众)等。声明名称仅仅三个字符，在自定义时需要注意该细节。该部分同样由Base64Url进行编码。

public声明，为使用JWT的人随意定义，为避免冲突，用户自定义时，应尽量避开[官方规范]https://www.iana.org/assignments/jwt/jwt.xhtml中包含的声明。

private声明，由同意使用它们的各方之间共享信息而创建的自定义信息。

案例如下：

{
    "sub":"testsub",
    "name":"ggcy",
    "iat":1516239022
}

需要注意的是，在 Header 和 Payload 中避免存放涉及到私密内容，整体信息防篡改，但是对信息并不负责，数据内容的安全性，这里是读者需要注意的地方。

3、Signature

创建指纹，需要以下几个部分，Header、Payload、一个秘钥，其中 Header 和 Payload 都是需要 Base64Url 进行编码，几个部分最终由 Header 定义的加密算法进行加密。具体抽象逻辑如下：

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

案例如下：
header

{
  "alg": "HS256",
  "typ": "JWT"
}

payload

{
  "sub": "1234567890",
  "name": "John Doe",
  "iat": 1516239022
}

signature

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload), 
  your-256-bit-secret
)

//生成结果如下
SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

组合Jwt，结构如下：xxx.yyy.zzz，内容每一部分由.，进行间隔。

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

如果觉得以上内容过于枯燥，想要更具体的体会对应的各个部分的内容，可以访问Jwt官方提供的在线Jwt生成页面，https://jwt.io/#debugger-io，进行尝试测试。