单点登录—什么是JWT

单点登录—什么是JWT

JSON Web Token（JWT）是目前最流行的跨域身份验证解决方案。

随着微服务架构的出现，单体应用的弊端日渐暴露，而微服务应用带来的常见问题之一就是跨域请求。解决该问题的技术也有很多，其中最为突出，应用最广的就是jwt，该token被设计为紧凑且安全的，特别适用于分布式站点的单点登陆（SSO）场景。

JWT结构

JSON Web令牌以紧凑的形式由三部分组成，这些部分由点（.）分隔，分别是：

• 标头
• 有效载荷
• 签名

因此，JWT通常如下所示。

xxxxx.yyyyy.zzzzz

标头

标头通常由两部分组成：令牌的类型（即JWT）和所使用的签名算法，例如HMAC SHA256或RSA。

例如：

{
  "alg": "HS256",
  "typ": "JWT"
}

然后，此JSON被Base64Url编码以形成JWT的第一部分。

有效载荷

载荷就是存放有效信息的地方，包含三部分

• 标准中注册的声明
• 公共的声明
• 私有的声明

1. 标准中注册的声明 ：

   iss: jwt签发者
   sub: jwt所面向的用户
   aud: 接收jwt的一方
   exp: jwt的过期时间，这个过期时间必须要大于签发时间
   nbf: 定义在什么时间之前，该jwt都是不可用的.
   iat: jwt的签发时间
   jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击。

2. 公共的声明

   公共的声明可以添加任何的信息，一般添加用户的相关信息或其他业务需要的必要信息.但不建议添加敏感信息，因为该部分在客户端可解密

3. 私有的声明

   私有声明是提供者和消费者所共同定义的声明，一般不建议存放敏感信息，因为base64是对称解密的，意味着该部分信息可以归类为明文信息。

有效负载示例：

{
  "name": "Darren",
  "admin": true
}

然后，对有效负载进行Base64Url编码，以形成JSON Web令牌的第二部分。

请注意，对于已签名的令牌，此信息尽管可以防止篡改，但任何人都可以读取。除非将其加密，否则请勿将机密信息放入JWT的有效负载或报头元素中。

签名

要创建签名部分，您必须获取编码的标头，编码的有效载荷，标头中指定的算法，并对其进行签名。

例如，如果要使用HMAC SHA256算法，则将通过以下方式创建签名：

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

签名用于验证消息在整个过程中没有更改，并且对于使用私钥进行签名的令牌，它还可以验证JWT的发送者是它所说的真实身份。

下图显示了一个JWT，它已对先前的标头和有效负载进行了编码，并用一个秘密进行了签名。

【参考】

https://www.jianshu.com/p/9010fb0d5341

https://jwt.io/#debugger