Json web token（JWT）是为了网络应用环境间传递声明而执行的一种基于JSON的开发标准（RFC 7519），该token被设计为紧凑且安全的，特别适用于分布式站点的单点登陆（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息
什么是JWT
起源
传统的session认证
基于session认证所显露的问题
基于token的鉴权机制
-
用户使用用户名密码请求服务器
-
服务器进行验证用户信息
-
服务器通过验证发送给用户一个token
-
客户端存储token，并在每次请求时附加这个token值
-
服务器验证token，并返回数据
JWT的构成
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJVc2VySWQiOjEyMywiVXNlck5hbWUiOiJhZG1pbiJ9.Qjw1epD5P6p4Yy2yju3-fkq28PddznqRj3ESfALQy_U
header
-
声明类型，这里是jwt
-
声明加密的算法，通常直接使用HMAC SHA256
{
‘typ‘:‘JWT‘,
‘alg‘:‘HS256‘
}
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9
plyload
-
iss：jwt签发者
-
sub：jwt所面向的用户
-
aud：接收jwt的一方
-
exp：jwt的过期时间，这个过期时间必须大于签发时间
-
nbf：定义在什么时间之前，该jwt都是不可用的
-
iat：jwt的签发时间
-
jti：jwt的唯一身份标识，主要用来作为一次性token，从而回避重放攻击
{
"sub": "1234567890",
"name": "John Doe",
"admin": true
}
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9
-
header(base64后的)
-
payload(base64后的)
-
secred
var encodedString = base64UrlEncode(header) + ‘.‘ + base64UrlEncode(payload);
var signature = HMACSHA256(encodedString, ‘secret‘); // TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ
fetch(‘api/user/1‘, {
headers: {
‘Authorization‘: ‘Bearer ‘ + token
}
})
总结
-
因为json的通用性，所以JWT是可以跨语言支持的，像C#，JavaScript，NodeJS，PHP等许多语言都可以使用
-
因为由了payload部分，所以JWT可以在自身存储一些其它业务逻辑所必要的非敏感信息
-
便于传输，jwt的构成非常简单，字节占用很小，所以它是非常便于传输的
-
它不需要在服务端保存会话信息，所以它易于应用的扩展
-
不应该在jwt的payload部分存储敏感信息，因为该部分是客户端可解密的部分
-
保护好secret私钥。该私钥非常重要
-
如果可以，请使用https协议
服务热线 19970861797
