Vue --- jwt

最新推荐文章于 2024-08-28 12:58:27 发布

-唐醋小排骨

最新推荐文章于 2024-08-28 12:58:27 发布

阅读量864

点赞数 1

文章标签： vue.js 前端 javascript elementui

本文链接：https://blog.csdn.net/ty0714/article/details/124798683

版权

本文详细介绍了JWT（JSON Web Token）的原理，包括JWT是什么，为何使用，其工作流程，以及JWT的组成：Header、Payload和Signature。同时，阐述了JWT的验证过程和令牌刷新思路，强调了JWT在身份验证和跨域身份验证中的应用。

摘要由CSDN通过智能技术生成

①. Reserved claims(保留)

②. Public claims，略（公共）

③. Private claims(私有)

4.3 signature

5. JWT的验证过程

6. JWT令牌刷新思路

1. JWT是什么

JSON Web Token (JWT)，它是目前最流行的跨域身份验证解决方案

2. 为什么使用JWT

JWT的精髓在于：“去中心化”，数据是保存在客户端的。(减轻服务器端的压力)

3. JWT的工作原理

3.1、 是在服务器身份验证之后，将生成一个JSON对象并将其发送回用户，示例如下：
{"UserName": "Chongchong","Role": "Admin","Expire": "2018-08-08 20:15:56"}

3.2、 之后，当用户与服务器通信时，客户在请求中发回JSON对象JWT

3.3、为了防止用户篡改数据，服务器将在生成对象时添加签名，并对发回的数据进行验证

4. JWT组成

一个JWT实际上就是一个字符串。

它由三部分组成：头部(Header)、载荷(Payload)与签名(signature)

JWT结构原理图：见资料“JWT的数据结构.jpg”

JWT实际结构：

        eyJhbGciOiJIUzI1NiJ9.
        eyJzdWIiOiJ7fSIsImlzcyI6InpraW5nIiwiZXhwIjoxNTYyODUwMjM3LCJpYXQiOjE1NjI4NDg0MzcsImp0aSI6ImM5OWEyMzRmMDc4NzQyZWE4YjlmYThlYmYzY2VhNjBlIiwidXNlcm5hbWUiOiJ6c3MifQ.
        WUfqhFTeGzUZCpCfz5eeEpBXBZ8-lYg1htp-t7wD3I4

它是一个很长的字符串，中间用点（.）分隔成三个部分。

注意，JWT 内部是没有换行的，这里只是为了便于展示，将它写成了几行。写成一行，就是下面的样子：Header.Payload.Signature

4.1 Header

{"typ":"JWT","alg":"HS256"}
这个json中的typ属性，用来标识整个token字符串是一个JWT字符串；它的alg属性，用来说明这个JWT签发的时候所使用的签名和摘要算法

typ跟alg属性的全称其实是type跟algorithm，分别是类型跟算法的意思。之所以都用三个字母来表示，也是基于JWT最终字符串大小的考虑，

同时也是跟JWT这个名称保持一致，这样就都是三个字符了…typ跟alg是JWT中标准中规定的属性名称

4.2 Payload(负荷/载荷)

{"sub":"123","name":"Tom","admin":true}（键值对）

payload用来承载要传递的数据(容器)，它的json结构实际上是对JWT要传递的数据的一组声明，这些声明被JWT标准称为claims，
它的一个“属性值对”其实就是一个claim(要求)，
每一个claim的都代表特定的含义和作用。

注1：英文“claim”就是要求的意思

注2：如上面结构中的sub代表这个token(令牌)的所有人，存储的是所有人的ID；name表示这个所有人的名字；admin表示所有人是否管理员的角色。
当后面对JWT进行验证的时候，这些claim都能发挥特定的作用

注3：根据JWT的标准，这些claims可以分为以下三种类型：

①. Reserved claims(保留)

它的含义就像是编程语言的保留字一样，属于JWT标准里面规定的一些claim。JWT标准里面定义好的claim有：
iss(Issuser)：代表这个JWT的签发主体；
sub(Subject)：代表这个JWT的主体，即它的所有人；
aud(Audience)：代表这个JWT的接收对象；
exp(Expiration time)：是一个时间戳，代表这个JWT的过期时间；
nbf(Not Before)：是一个时间戳，代表这个JWT生效的开始时间，意味着在这个时间之前验证JWT是会失败的；
iat(Issued at)：是一个时间戳，代表这个JWT的签发时间；
jti(JWT ID)：是JWT的唯一标识。

②. Public claims，略（公共）

③. Private claims(私有)

存放自定义数据。

这个指的就是自定义的claim，比如前面那个示例中的admin和name都属于自定的claim。这些claim跟JWT标准规定的claim区别在于：JWT规定的claim，
JWT的接收方在拿到JWT之后，都知道怎么对这些标准的claim进行验证；而private claims不会验证，除非明确告诉接收方要对这些claim进行验证以及规则才行

按照JWT标准的说明：保留的claims都是可选的，在生成payload不强制用上面的那些claim，你可以完全按照自己的想法来定义payload的结构，不过这样搞根本没必要：
第一是，如果把JWT用于认证，那么JWT标准内规定的几个claim就足够用了，甚至只需要其中一两个就可以了，假如想往JWT里多存一些用户业务信息，
比如角色和用户名等，这倒是用自定义的claim来添加；第二是&#