jwt 私钥_浅析JWT

点击?蓝色“ 深入原理”，关注并“设为星标”

技术干货，第一时间推送

1 JWT原理介绍

   

1、JWT 的原理

---

JWT 的原理是，服务器认证以后，生成一个 JSON 对象，发回给用户，就像下面这样。

{
     
  "姓名": "张三",
  "角色": "管理员",
  "到期时间": "2020年9月1日0点0分"
}

以后，用户与服务端通信的时候，都要发回这个 JSON 对象。服务器完全只靠这个对象认定用户身份。为了防止用户篡改数据，服务器在生成这个对象的时候，会加上签名(详见后文)。

服务器就不保存任何 session 数据了，也就是说，服务器变成无状态了，从而比较容易实现扩展。

2、JWT 的数据结构

---

实际的 JWT 大概就像下面这样。

它是一个很长的字符串，中间用点(.)分隔成三个部分。注意，JWT 内部是没有换行的，这里只是为了便于展示，将它写成了几行。

JWT 的三个部分依次如下。

• Header(头部)

• Payload(负载)

• Signature(签名)

写成一行，就是下面的样子。

Header.Payload.Signature

下面依次介绍这三个部分。

2.1 Header

Header 部分是一个 JSON 对象，描述 JWT 的元数据，通常是下面的样子。

{
     
  "alg": "HS256",
  "typ": "JWT"
}

上面代码中，alg属性表示签名的算法(algorithm)，默认是 HMAC SHA256(写成 HS256)；typ属性表示这个令牌(token)的类型(type)，JWT 令牌统一写为JWT。

最后，将上面的 JSON 对象使用 Base64URL 算法(详见后文)转成字符串。

2.2 Payload

Payload 部分也是一个 JSON 对象，用来存放实际需要传递的数据。JWT 规定了7个官方字段，供选用。

• iss (issuer)：签发人

• exp (expiration time)：过期时间

• sub (subject)：主题

• aud (audience)：受众