智威汤逊基础知识

以下是 json web 令牌 (jwt) 的基础知识：

结构

jwt 由三部分组成，每部分都以 base64url 格式编码，并用句点 (.) 分隔：

1. 标头：描述令牌类型和签名算法。

   • 示例：

    {
      "alg": "hs256",
      "typ": "jwt"
    }
   

2. 有效负载：包含有关用户的声明或声明以及附加数据。声明分为三种类型：

   • 注册声明：预定义声明，例如 sub（主题）、iat（发布时间）和 exp（过期）。
   • 公共声明：可以定义的自定义声明，但必须是唯一的以避免冲突。
   • 私人声明：使用令牌的各方同意的自定义声明。
   • 示例：

    {
      "sub": "1234567890",
      "name": "john doe",
      "iat": 1516239022
    }
   

3. 签名：通过使用指定算法（例如 hmac sha256）将编码的标头和负载与密钥组合来创建。

   • 示例：

    HMACSHA256(
      base64UrlEncode(header) + "." +
      base64UrlEncode(payload),
      secret
    )
   

用法

1. 身份验证：jwt 通常用于身份验证，服务器在成功登录后发出令牌。客户端在后续请求中包含此令牌，以便服务器验证用户的身份。

2. 授权：jwt 也可用于授予对资源的访问权限。令牌可能包含确定用户可以访问的内容的角色或权限。

流程示例

1. 用户登录：用户登录，服务器生成jwt。
2. 令牌传输：服务器将jwt发送给客户端。
3. 客户端请求：客户端将 jwt 包含在未来请求的授权标头中。
4. 服务器验证：服务器验证 jwt 的签名并提取声明来处理请求。

安全考虑

• 机密性：jwt 默认情况下不加密，因此敏感信息不应包含在有效负载中。为了保密，请使用加密的 jwt 或使用 https 来保护传输中的令牌。
• 过期：jwt 应该有一个过期（exp 声明），以限制其有效期并降低令牌被泄露的风险。
• 签名：始终验证 jwt 的签名，以确保其真实性和完整性。

jwt 因其无状态特性而非常有用，允许在各方之间安全地传输身份验证和授权信息。