浅谈JWT——基于工程权限管理

一、什么是JWT

Json web token，是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准((RFC7519).定义了一种简洁的，自包含的方法用于通信双方之间以JSON对象的形式安全的传递信息。因为数字签名的存在，这些信息是可信的，JWT可以使用HMAC算法或者是RSA的公私秘钥对进行签名。

JWT组成

• Header头部

头部包含了两部分，token类型和采用的加密算法：

它会使用Base64编码组成JWT结构的第一部分（并非加密过程）

• Payload负载

这部分是存放信息的地方，可将用户ID等信息放在此处，JWT规范里对这部分有进行较为详细介绍，常用的有iss(签发者)，iat(签发时间)，exp(过期时间)，sub(面向的用户)，aud(接收方)

• Signature签名

前面两部分都使用Base64进行编码的，即前端可以解开知道里面的信息。Signature需要使用编码后的header和payload以及提供的一个密钥，然后使用header中指定的签名算法（HS256）进行签名。签名的作用是保证JWT没有被篡改过

三个部分通过 . 连接在一起就是JWT，长度可能和加密算法和私钥有关系

签名的目的

最后一步签名的过程，实际上是对头部以及负载内容进行签名，防止内容被窜改。如果有人对头部以及负载的内容解码之后进行修改，再进行编码，最后加上之前的签名组合形成新的JWT的话，那么服务器端会判断出新的头部和负载形成的签名和JWT附带上的签名不一样。如果要对新的头部和负载进行签名，在不知道服务器加密时用的密钥的话，得出来的签名也是不一样的。

二、为什么使用JWT

1）传统token认证

资源服务器授权流程如上图，客户端先去授权服务器申请令牌，申请令牌后，携带令牌访问 资源服务器，资源服务器访问授权服务校验令牌的合法性，授权服务会返回校验结果，如果校验 成功会返回⽤户信息给资源服务器，资源服务器如果接收到的校验结果通过了，则返回资源给客 户端。

传统授权⽅法的问题是⽤户每次请求资源服务，资源服务都需要携带令牌访问认证服务去校 验令牌的合法性，并根 据令牌获取⽤户的相关信息，性能低下。

2）JWT认证

传统的授权模式性能低下，每次都需要请求授权服务校验令牌合法性，我们可以利⽤公钥私 钥完成对令牌的加密，如果加密解密成功，则表示令牌合法，如果加密解密失败，则表示令牌⽆ 效不合法，合法则允许访问资源服务器的资源，解密失败，则不允许访问资源服务器资源。

三、JWT的使用

1）公钥和私钥 

①授权中心和资源中心持有私钥和公钥

②私钥颁发令牌

③公钥验证令牌

2）生成私钥公钥

①生成密钥证书（采用RSA算法 每个证书包含公钥和私钥）

②查询证书信息

③删除别名

④导出公钥

将公钥拷⻉到⽂本public.key⽂件，放到资源服务器中

3）JWT测试

 

①引入oauth2依赖构件

②准备好测试需要的公钥和私钥

③编写JwtTest（JWT测试类）