聊一聊JWT

前言

看客们对于JWT，我估计大部分都是很熟悉的了。 但是不乏也存在初学者刚接触JWT，那么咱们走个流程，我先简单的在前言里介绍下JWT，因为该篇文章目的不是做JWT的使用介绍。

 

简单了解JWT

简单来讲，可以把JWT当作是一个写好的生成token令牌（字符串）的方法，使用JWT，就会生成 一个token 字符串。

说白了，就是一个签名的生成规则算法。

 

JWT生成的token示例：

eyJhbGciOiJIUzUxMiJ9.eyJ1c2VySWQiOiIxMDAxIiwiaXNzIjoiSkNjY2MiLCJpYXQiOjE2MDU2Nzg0MTd9.5f8JwZoi1okX1mEmWDOt6YsZXrxtle52PsjZ92F2I0KBlOG3XRtoL9Tfx0TjQGdwbHzYhV_uz7aNDF0E_I1FPw

咋一看感觉，很长很乱，加密得非常复杂。

那么我们加点颜色再看看：

没错，每一段不同颜色的字符串之间 可以看到，使用了符号 ’ . ‘  进行了拼接。  一共三段字符串分别是 header 、payload、signature，组成了 所谓的 token令牌。

header  :  存储着该令牌使用的加密算法标识信息   

payload  ：存储着 我们放进令牌里面的数据信息

signature ：签名

 

最后再简单看一张图：

 

大家从图中可以看到我们很熟悉的   base64   ， 大家明白 base64 不是一种加密算法， 而仅是一种编码转换方式而已。

也就是说，header 和 payload 这两部分 是可以随意解码的。

就以目前这个token令牌字符串来看，我们解码看看：

ps： 所以到这你能明白所谓的token为什么我说当作一个签名的生成的规则算法看待就行了。

 

正文

 

前面介绍太啰嗦了，该篇其实并不是个JWT使用普及文章，是想埋怨一下 注意点。

 

 

 ① 让 JWT-TOKEN 当场失效：
 

1. 账号注销/登录注销

用户在客户端登录了账号，请求授权， 拿到了 JWT-TOKEN 。

用户选择注销登录（或者账号被注销），那么讲道理其实之前的JWT-TOKEN 应该是无效的了。

2.修改密码

用户在客户端登录了账号，请求授权， 拿到了 JWT-TOKEN 。

用户修改了密码，那么讲道理其实之前的JWT-TOKEN 应该是无效的。

3.修改资源权限信息

有些情形我们会选择在JWT-TOKEN 使用自定义Claims，在Claims里面放入 role（角色），permission（权限）等数据。

用户的 role（角色），permission（权限） 一旦被修改， 那么讲道理其实之前的JWT-TOKEN 应该是无效的了。

 

类似上面举例的这种情形，

JWT是无法提供这种售后服务的， 没有办法直接指定某个JWT-TOKEN  ，使其当场失效。

那么也就是说，如果这个JWT-TOKEN  被人拎出来，在有效期内去使用，那么这个令牌就还是有用的。

 

所以对于这种场景我们的方案是：

使用  redis 去缓存 授权颁发的JWT-TOKEN ， 通过在redis 中去管理 是否删除（失效）JWT-TOKEN 。

 

可是这么一来，其实也就不是 所谓的无状态了。

因为原本很多人选择使用token，就是想脱离session 这种服务有状态的模式。想让前端自己保存token，后端不需要花费精力去管理。一旦加入redis，其实可以理解为又回到了原点。

只是说在一个方面上直接避免了session的一些问题。

 

 

②延长token时间、刷新token：

 

token快过期了或者过期了，我想刷新续签一下。让这个token 再次获得生命！

JWT只会给你一个新的token。

需要我们自己去合理选择刷新token与客户端协作的方案，无感知刷新、新旧token交替等等。