了解 JSON Web 令牌 (JWT)

谢.锋

于 2024-07-18 08:00:00 发布

阅读量735

点赞数 14

分类专栏：网络安全文章标签： JSON Web令牌 JWT实现 JWT安全基于令牌的身份验证

本文链接：https://blog.csdn.net/xiefeng240601/article/details/140508714

版权

网络安全专栏收录该内容

6 篇文章 0 订阅

订阅专栏

一. 介绍

在现代 Web 开发领域，确保客户端和服务器之间的通信安全至关重要。JSON Web Tokens (JWT) 已成为确保安全高效数据交换的流行解决方案。本文将深入探讨 JWT 是什么、它们的工作原理以及它们为何对于 Web 应用程序中的安全身份验证和授权至关重要。

二. 什么是 JSON Web Token (JWT)？

JSON Web Token (JWT) 是一种紧凑且 URL 安全的表示双方之间传输声明的方式。JWT 中的声明被编码为 JSON 对象，该对象使用 JSON Web 签名 (JWS) 进行数字签名，并可选择使用 JSON Web 加密 (JWE) 进行加密。

三. JWT 的结构

JWT 由三部分组成，以点（.）分隔：Header、Payload 和 Signature。

标头：包含有关令牌的元数据，包括令牌的类型（JWT）和使用的签名算法（例如，HMAC SHA256）。

{
  "alg": "HS256",
  "typ": "JWT"
}

有效负载：包含声明。声明是关于实体（通常是用户）和其他数据的声明。声明有三种类型：注册声明、公开声明和私有声明。

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}

签名：用于验证令牌的真实性。它是通过使用 Base64Url 编码对标头和有效负载进行编码并将它们与密钥或私钥连接起来而创建的。

HMACSHA256(
  base64UrlEncode(header) + "." + base64UrlEncode(payload),
  secret
)

四. JWT 如何工作？

JWT 通常用于用户需要验证身份并授权访问资源的场景。以下是典型流程。

用户登录：用户使用其凭证登录。
令牌生成：服务器验证凭证并生成 JWT，并使用密钥对其进行签名。
Token 存储： JWT 被发送到客户端并存储，通常在本地存储或 cookie 中。
经过身份验证的请求：对于后续请求，客户端将 JWT 包含在授权标头（Bearer 令牌）中。
Token验证：服务端使用密钥对JWT进行验证，确保其有效性和真实性。
访问授权：如果令牌有效，服务器将处理请求并发送响应。

五. JWT 的优点

无状态： JWT 是自包含的，不需要服务器端会话，因此具有可扩展性。
紧凑： JWT 的紧凑特性使其非常适合在 URL、HTTP 标头和 cookie 中使用。因为JWT只包含必要的信息，所以它们通常比传统的session cookie要紧凑。这意味着它们在传输时占用更少的带宽。
多功能： JWT 既可以用于身份验证，也可以用于信息交换。
可互操作： JWT 与语言无关，可以在不同的平台和编程语言中使用。

六. 在应用程序中实现 JWT

1. 生成 JWT

要生成 JWT，您需要创建标头、有效负载和签名。

using System;
using System.IdentityModel.Tokens.Jwt;
using System.Security.Claims;
using Microsoft.IdentityModel.Tokens;
using System.Text;

public class JwtTokenService
{
    private const string SecretKey = "your-256-bit-secret";
    private readonly SymmetricSecurityKey _signingKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(SecretKey));

    public string GenerateToken(string userId)
    {
        var claims = new[]
        {
            new Claim(JwtRegisteredClaimNames.Sub, userId),
            new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString())
        };

        var token = new JwtSecurityToken(
            issuer: "yourdomain.com",
            audience: "yourdomain.com",
            claims: claims,
            expires: DateTime.UtcNow.AddDays(7),
            signingCredentials: new SigningCredentials(_signingKey, SecurityAlgorithms.HmacSha256)
        );

        return new JwtSecurityTokenHandler().WriteToken(token);
    }
}

2. 验证 JWT

要验证 JWT，您需要验证其签名并确保声明有效。

using Microsoft.IdentityModel.Tokens;
using System;
using System.IdentityModel.Tokens.Jwt;
using System.Text;

public class JwtTokenValidator
{
    private const string SecretKey = "your-256-bit-secret";
    private readonly SymmetricSecurityKey _signingKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(SecretKey));

    public ClaimsPrincipal ValidateToken(string token)
    {
        var tokenHandler = new JwtSecurityTokenHandler();
        var validationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = "yourdomain.com",
            ValidAudience = "yourdomain.com",
            IssuerSigningKey = _signingKey
        };

        try
        {
            var principal = tokenHandler.ValidateToken(token, validationParameters, out var securityToken);
            return principal;
        }
        catch (Exception)
        {
            return null;
        }
    }
}