jwt工具实现token

最新推荐文章于 2023-12-25 20:05:26 发布

xp_1711

最新推荐文章于 2023-12-25 20:05:26 发布

阅读量230

点赞数

分类专栏： # jwt 与token

原文链接：https://segmentfault.com/a/1190000022831179

版权

2 篇文章 0 订阅

订阅专栏

JWT是一种用于双方之间传递安全信息的简洁的、URL安全的表述性声明规范。JWT作为一个开放的标准（RFC 7519）,定义了一种简洁的，自包含的方法用于通信双方之间以JSON对象的形式安全的传递信息。因为数字签名的存在，这些信息是可信的，JWT可以使用HMAC算法或者RSA的公私密钥对进行签名。

下列场景中使用JSON Web Token是很有用的：

Authorization (授权) : 这是使用JWT的最常见场景。一旦用户登录，后续每个请求都将包含JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是现在广泛使用的JWT的一个特性，因为它的开销很小，并且可以轻松地跨域使用。
Information Exchange (信息交换) : 对于安全的在各方之间传输信息而言，JSON Web
Tokens无疑是一种很好的方式。因为JWTs可以被签名，例如，用公钥/私钥对，你可以确定发送人就是它们所说的那个人。另外，由于签名是使用头和有效负载计算的，您还可以验证内容没有被篡改。

SON Web Token由三部分组成，它们之间用圆点(.)连接。这三部分分别是：

在这里插入图片描述

header典型的由两部分组成：token的类型（“JWT”）和算法名称（比如：HMAC SHA256或者RSA等等）。

例如：JSON对象如下，对该对象进行base64编码，就得到了header部分

{
	"alg":"HS256",
	"typ":"JWT"
}

JWT的第二部分是payload，它包含声明（要求）。声明是关于实体(通常是用户)和其他数据的声明。声明有三种类型: registered, public 和 private。

Registered claims : 这里有一组预定义的声明，它们不是强制的，但是推荐。比如：iss (issuer), exp (expiration time), sub (subject), aud (audience)等。
Public claims : 可以随意定义。
Private claims : 用于在同意使用它们的各方之间共享信息，并且不是注册的或公开的声明。

标准中注册的声明 (建议但不强制使用) ：

公共的声明：
公共的声明可以添加任何的信息，一般添加用户的相关信息或其他业务需要的必要信息.但不建议添加敏感信息，因为该部分在客户端可解密.

私有的声明：
私有声明是提供者和消费者所共同定义的声明，一般不建议存放敏感信息，因为base64是对称解密的，意味着该部分信息可以归类为明文信息。

例子：

{
	"sid":"1234567890",
	"name":"Tom",
	"iat":System.currentTimeMillis()
}

对payload进行Base64编码就得到JWT的第二部分

注意，不要在JWT的payload或header中放置敏感信息，除非它们是加密的。

为了得到签名部分，你必须有编码过的header、编码过的payload、一个秘钥【可进行加密也可不进行加密】，签名算法是header中指定的那个，然对它们签名即可。密钥secret是保存在服务端的，服务端会根据这个密钥进行生成token和验证，所以需要保护好。

HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

签名是用于验证消息在传递过程中有没有被更改，并且，对于使用私钥签名的token，它还可以验证JWT的发送方是否为它所称的发送方。

在这里插入图片描述
一般是在请求头里加入Authorization，并加上Bearer标注：


fetch('api/user/1', {
  headers: {
    'Authorization': 'Bearer ' + token
  }
})

服务端会验证token，如果验证通过就会返回相应的资源。

关注