jwt token 太长_理解 JWT 鉴权的应用场景及使用建议

JWT 介绍

JSON Web Token(JWT)是一个开放式标准(RFC 7519)，它定义了一种紧凑(Compact)且自包含(Self-contained)的方式，用于在各方之间以JSON对象安全传输信息。

这些信息可以通过数字签名进行验证和信任。可以使用秘密(使用HMAC算法)或使用RSA的公钥/私钥对对JWT进行签名。

虽然JWT可以加密以提供各方之间的保密性，但我们将重点关注已签名的令牌。签名的令牌可以验证其中包含的索赔的完整性，而加密令牌隐藏来自其他方的索赔。

当令牌使用公钥/私钥对进行签名时，签名还证明只有持有私钥的方是签名方。

我们来进一步解释一些概念：

• Compact(紧凑)：由于它们尺寸较小，JWT可以通过URL，POST参数或HTTP标头内发送。另外，尺寸越小意味着传输速度越快。

• Self-contained(自包含):有效载荷(Playload)包含有关用户的所有必需信息，避免了多次查询数据库。

JWT适用场景

• Authentication(鉴权)：

  这是使用JWT最常见的情况。一旦用户登录，每个后续请求都将包含JWT，允许用户访问该令牌允许的路由，服务和资源。

  单点登录是当今广泛使用JWT的一项功能，因为它的开销很小，并且能够轻松地跨不同域使用。
• Information Exchange(信息交换)：JSON Web Tokens是在各方之间安全传输信息的好方式。因为JWT可以签名：例如使用公钥/私钥对，所以可以确定发件人是他们自称的人。

  此外，由于使用标头和有效载荷计算签名，因此您还可以验证内容是否未被篡改。

JWT结构

在紧凑的形式中，JWT包含三个由点(.)分隔的部分，它们分别是：

• Header

• Payload

• Signature

JWT结构通常如下所示：