百度360必应搜狗淘宝本站头条
python判断字典是否为空crontab每周一执行aes和des区别安装指定版本npmadb pull
当前位置：网站首页 > IT知识 > 正文

深入浅出之JWT(JSON Web Token)

liuian 2025-05-22 11:44 17 浏览

什么是JWT?

JWT是JSON Web Token的缩写，它是一种开源标准(RFC 7519)，用来定义通信双方如何安全地交换信息的格式。

本身定义比较简单，结合实践经验，我总结了几点能够更好地帮助理解什么是JWT。

重点：

  • JWT之所以叫JSON Web Token，是因为其头部和载荷在编码之前都是JSON格式的数据；
  • JWT是一种标准，它有很多的实现方案，比如jwt-auth，专门为php框架laravel打造，java玩家可以看下java-jwt；
  • JWT规定以JSON的格式传递信息，负载payload的数据格式是JSON的，通常使用base64编码；
  • JWT是自包含的，Token本身携带了验证信息，不需要借助其他工具就可以知道一个Token是否有效，以及载荷信息；
  • JWT的某些实现比如黑名单机制、Token刷新等增强功能，可能也需要借助其他工具，但是这并不违背自包含特性。

JWT的结构

上图可以直观的看出JWT的结构，三种颜色代表三个部分，头部、载荷、签名。

头部

头部本身是JSON格式的，注意这里说的是编码之前的格式。头部包括两个字段，token的类型和加密算法。注意这里说的加密算法是签名的加密算法，不是头部的加密算法，也不是载荷的加密算法。实际上头部并没有经过加密，只是通过base64编码成字符串。

载荷

载荷也是JSON格式的，经过base64编码成字符串。上图例子中可以看到有sub,name,iat三个字段，实际上你可以放更多的信息，只要你需要，前提是JSON格式。

下面这些字段是标准定一个的字段，用来确保jwt有效工作的。

  • iss

Issuer的简写，代表token的颁发者。

  • sub

Subject的简写，代表token的主题。

  • aud

Audience的简写，代表token的接收目标。

  • exp

Expiration Time的简写，代表token的过期时间，时间戳格式。

  • nbf

Not Before的简写，代表token在这个时间之前不能被处理，主要是纠正服务器时间偏差。

  • iat

Issued At的简写，代表token的颁发时间。

  • jti

JWT ID的简写，代表token的id，通常当不同用户认证的时候，他们的token的jti是不同的。

以上字段都是RFC 7519标准确定的字段，通常由具体的实现框架来处理，具体的使用者不需要关心。

注意，除了以上标准定义的字段，用户可以自由添加需要的信息，通常我们会把全局的、经常使用的、安全要求不高的信息写入载荷，比如用户ID、用户名等信息。

JWT认证流程

  1. 用户使用账号和密码登录，调用后端登录接口；
  2. 后端登录程序生成jwt(注意这里小写指的是具体的token)，这一步通常是由jwt插件完成的，我们只需要配置jwt加密密钥、token刷新时间、token有效时间；
  3. 后端返回jwt给前端；
  4. 前端之后的请求直接带上token即可，只要在token的有效期内；
  5. 后端收到前端的请求，会验证token的合法性、有效性，验证通过之后处理请求；
  6. 后端发送响应给前端。

JWT常见误区

  • JWT是不安全的，因为使用base64编码。这种理解是错误的，头部和载荷确实使用了base64编码，作用是编码而非加密，就是这么设计的，便于前端解码获取信息，所以头部和载荷不要存放保密信息。
  • JWT是自包含，不需要借助数据库和缓存。这种理解是错误的，当需要高级功能，比如token刷新、黑名单、多人共享账号等，还是需要借助缓存和数据库。
  • 获取头部和载荷信息之后可以修改或者伪造token。这是不可能的，即使头部和载荷的信息完全一样，但是加密的私钥不对，签名也是不对的，后端验证也没法通过。

相关推荐

Optional是个好东西，如果用错了就太可惜了

原文出处：https://xie.infoq.cn/article/e3d1f0f4f095397c44812a5be我们都知道，在Java8新增了一个类-Optional，主要是用来解决程...

IDEA建议:不要在字段上使用@Autowire了!

在使用IDEA写Spring相关的项目的时候，在字段上使用@Autowired注解时，总是会有一个波浪线提示：Fieldinjectionisnotrecommended.纳尼？我天天用，咋...

Spring源码|Spring实例Bean的方法

Spring实例Bean的方法，在AbstractAutowireCapableBeanFactory中的protectedBeanWrappercreateBeanInstance(String...

Spring技巧:深入研究Java 14和SpringBoot

在本期文章中，我们将介绍Java14中的新特性及其在构建基于SpringBoot的应用程序中的应用。开始，我们需要使用Java的最新版本，也是最棒的版本，Java14，它现在还没有发布。预计将于2...

Java开发200+个学习知识路线-史上最全(框架篇)

1.Spring框架深入SpringIOC容器：BeanFactory与ApplicationContextBean生命周期：实例化、属性填充、初始化、销毁依赖注入方式：构造器注入、Setter注...

年末将至，Java 开发者必须了解的 15 个Java 顶级开源项目

专注于Java领域优质技术，欢迎关注作者：SnailClimbStar的数量统计于2019-12-29。1.JavaGuideGuide哥大三开始维护的，目前算是纯Java类型项目中Sta...

字节跨平台框架 Lynx 开源:一个 Web 开发者的原生体验

最近各大厂都在开源自己的跨平台框架，前脚腾讯刚宣布计划四月开源基于Kotlin的跨平台框架「Kuikly」，后脚字节跳动旧开源了他们的跨平台框架「Lynx」，如果说Kuikly是一个面向...

我要狠狠的反驳“公司禁止使用Lombok”的观点

经常在其它各个地方在说公司禁止使用Lombok，我一直不明白为什么不让用，今天看到一篇文章列举了一下“缺点”，这里我只想狠狠地反驳，看到列举的理由我竟无言以对。原文如下：下面，结合我自己使用Lomb...

SpringBoot Lombok使用详解:从入门到精通(注解最全)

一、Lombok概述与基础使用1.1Lombok是什么Lombok是一个Java库，它通过注解的方式自动生成Java代码（如getter、setter、toString等），从而减少样板代码的编写，...

Java 8之后的那些新特性(六):记录类 Record Class

Java是一门面向对象的语言，而对于面向对象的语言中，一个众所周知的概念就是，对象是包含属性与行为的。比如HR系统中都会有雇员的概念，那雇员会有姓名，ID身份，性别等，这些我们称之为属性；而雇员同时肯...

为什么大厂要求安卓开发者掌握Kotlin和Jetpack?优雅草卓伊凡

为什么大厂要求安卓开发者掌握Kotlin和Jetpack？深度解析现代Android开发生态优雅草卓伊凡一、Kotlin：Android开发的现代语言选择1.1Kotlin是什么？Kotlin是由...

Kotlin这5招太绝了!码农秒变优雅艺术家!

Kotlin因其简洁性、空安全性和与Java的无缝互操作性而备受喜爱。虽然许多开发者熟悉协程、扩展函数和数据类等特性，但还有一些鲜为人知的特性可以让你的代码从仅仅能用变得真正优雅且异常简洁。让我们来看...

自行部署一款免费高颜值的IT资产管理系统-咖啡壶chemex

在运维时，ICT资产太多怎么办，还是用excel表格来管理？效率太低，也不好多人使用。在几个IT资产管理系统中选择比较中，最终在Snipe-IT和chemex间选择了chemex咖啡壶。Snip...

PHP对接百度语音识别技术（php对接百度语音识别技术实验报告）

引言在目前的各种应用场景中，语音识别技术已经越来越常用，并且其应用场景正在不断扩大。百度提供的语音识别服务允许用户通过简单的接口调用，将语音内容转换为文本。本文将通过PHP语言集成百度的语音识别服务，...

知识付费系统功能全解析（知识付费项目怎么样）

开发知识付费系统需包含核心功能模块，确保内容变现、用户体验及运营管理需求。以下是完整功能架构：一、用户端功能注册登录：手机号/邮箱注册，第三方登录（微信、QQ）内容浏览：分类展示课程、文章、音频等付费...

一周热门
最近发表
标签列表