面试题--JWT

JWT

JSON Web token 简称 JWT， 是用于对应用程序上的用户进行身份验证的标记。也

就是说, 使用 JWTS 的应用程序不再需要保存有关其用户的 cookie 或其他 session 数

据。此特性便于可伸缩性, 同时保证应用程序的安全。

在身份验证过程中, 当用户使用其凭据成功登录时, 将返回 JSON Web token, 并且

必须在本地保存 (通常在本地存储中)。

每当用户要访问受保护的路由或资源 (端点) 时, 用户代理(user agent)必须连同请求

一起发送 JWT, 通常在授权标头中使用 Bearer schema。后端服务器接收到带有 JWT 的

请求时, 首先要做的是验证 token。

 组成

一个 JWT 实际上就是一个字符串，它由三部分组成，头部、载荷与签名。

头部（Header）

头部用于描述关于该 JWT 的最基本的信息，例如其类型以及签名所用的算法等。这也

可以被表示成一个 JSON 对象。

{"typ":"JWT","alg":"HS256"}

104 105

在 头 部 指 明 了 签 名 算 法 是 HS256 算 法 。

我 们 进 行 BASE64 编 码

（ http://base64.xpcha.com/ ） ， 编 码 后 的 字 符 串 如 下 ：

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

载荷（playload）

载荷就是存放有效信息的地方。这个名字像是特指飞机上承载的货品，这些有效信息包

含三个部分：

 标准中注册的声明（建议但不强制使用）

iss: jwt 签发者

sub: jwt 所面向的用户

aud: 接收 jwt 的一方

exp: jwt 的过期时间，这个过期时间必须要大于签发时间

nbf: 定义在什么时间之前，该 jwt 都是不可用的.

iat: jwt 的签发时间

jti: jwt 的唯一身份标识，主要用来作为一次性 token

公共的声明

公共的声明可以添加任何的信息，一般添加用户的相关信息或其他业务需要的必要信息.

但不建议添加敏感信息，因为该部分在客户端可解密。

私有的声明

私有声明是提供者和消费者所共同定义的声明，一般不建议存放敏感信息，因为

base64 是对称解密的，意味着该部分信息可以归类为明文信息。

这个指的就是自定义的 claim。比如前面那个结构举例中的 admin 和 name 都属

于自定的 claim。这些 claim 跟 JWT 标准规定的 claim 区别在于：JWT 规定的 claim，

JWT 的接收方在拿到 JWT 之后，都知道怎么对这些标准的 claim 进行验证(还不

知道是否能够验证)；而 private claims 不会验证，除非明确告诉接收方要对这些 claim

进行验证以及规则才行。定