JWT 是什么?
JSON Web Token(JWT)是一个开放标准(RFC 7519),它定义了一种紧凑且独立的方法,用于在各方之间安全地将信息作为JSON对象传输。 由于此信息是经过数字签名的,因此可以被验证和信任。 可以使用密钥(使用HMAC算法)或使用RSA或ECDSA的公用/专用密钥对对JWT进行签名。
尽管可以对JWT进行加密以在各方之间提供保密性,但我们将重点关注已签名的令牌。 签名的令牌可以验证其中包含的声明的完整性,而加密的tokens则将这些声明隐藏在其他方的面前。 当使用公钥/私钥对对token进行签名时,签名还证明只有持有私钥的一方才是对其进行签名的一方。
什么时候需要使用JWT ?
有如下几个场景使用JWT是有帮助的:
- 授权:这是JWT的最常见使用场景。 一旦用户登录,后续每个请求将携带JWT,从而允许用户访问该token允许的路径,服务和资源。 单一登录是当今广泛使用JWT的一项功能,因为它的开销很小并且可以在不同的域名中轻松使用。
- 信息交换:JWT是在各方之间安全传输信息的一种好方法。 因为可以对JWT进行签名(例如,使用公钥/私钥对),所以您可以确定发送人是他们自己。 此外,由于签名是使用header和payload计算的,因此您还可以验证内容是否被篡改。
JWT结构是什么 ?
JWT 以紧凑的形式由三部分组成,这些部分由点(.)分隔,分别是:
- Header
- Payload
- Signature
典型的JWT如:xxx