跨域身份验证解决方案——Json web token (JWT)

什么是JSON Web Token？

JSON Web Token（JWT）是一个非常轻巧的规范。这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的信息。它为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519).该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。

什么时候应该使用JSON Web Token？

授权：这是使用JWT的最常见方案。一旦用户登录，每个后续请求将包含JWT，允许用户访问该令牌允许的路由、服务和资源。Single Sign On是一种现在广泛使用JWT的功能，因为它的开销很小，并且能够在不同的域名中轻松使用（跨域）。

信息交换：JSON Web令牌是在各方之间安全传输信息的好方法。因为JWT可以被签名，例如，使用公钥/私钥对你可以确定发件人的真实性。此外，由于使用header 和 payload 计算签名，你还可以验证内容是否未被篡改。

JSON Web Token的结构是什么？

一个JWT实际上就是一个字符串，它由三部分组成，头部、载荷与签名。

JWT的头部（Header）

头部用于描述关于该JWT的最基本的信息，例如其类型以及签名所用的算法等。这也可以被表示成一个JSON对象。jwt的头部承载两部分信息：
➤声明类型，这里是jwt
➤声明加密的算法 通常直接使用 HMAC SHA256
完整的头部就像下面这样的JSON：

{
  'typ': 'JWT',
  'alg': 'HS256'
}

在头部指明了签名算法是HS256算法。 我们进行BASE64编码，编码后的字符串如下：

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

JWT的载荷（playload）

载荷就是存放有效信息的地方。这个名字像是特指飞机上承载的货品，这些有效信息包含三个部分

（1）标准中注册的声明（建议但不强制使用）

● iss: jwt签发者
● sub: jwt所面向的用户
● aud: 接收jwt的一方
● exp: jwt的过期时间，这个过期时间必须要大于签发时间
● nbf: 定义在什么时间之前，该jwt都是不可用的.
● iat: jwt的签发时间
●jti: jwt的唯一身份标识