百度360必应搜狗淘宝本站头条
框架图cad怎么画框架grpc框架flask框架scrapy框架
当前位置：网站首页 > 技术文章 > 正文

深入浅出之JWT(JSON Web Token)

ccwgpt 2025-04-27 12:47 3 浏览 0 评论

什么是JWT?

JWT是JSON Web Token的缩写，它是一种开源标准(RFC 7519)，用来定义通信双方如何安全地交换信息的格式。

本身定义比较简单，结合实践经验，我总结了几点能够更好地帮助理解什么是JWT。

重点：

  • JWT之所以叫JSON Web Token，是因为其头部和载荷在编码之前都是JSON格式的数据；
  • JWT是一种标准，它有很多的实现方案，比如jwt-auth，专门为php框架laravel打造，java玩家可以看下java-jwt；
  • JWT规定以JSON的格式传递信息，负载payload的数据格式是JSON的，通常使用base64编码；
  • JWT是自包含的，Token本身携带了验证信息，不需要借助其他工具就可以知道一个Token是否有效，以及载荷信息；
  • JWT的某些实现比如黑名单机制、Token刷新等增强功能，可能也需要借助其他工具，但是这并不违背自包含特性。

JWT的结构

上图可以直观的看出JWT的结构，三种颜色代表三个部分，头部、载荷、签名。

头部

头部本身是JSON格式的，注意这里说的是编码之前的格式。头部包括两个字段，token的类型和加密算法。注意这里说的加密算法是签名的加密算法，不是头部的加密算法，也不是载荷的加密算法。实际上头部并没有经过加密，只是通过base64编码成字符串。

载荷

载荷也是JSON格式的，经过base64编码成字符串。上图例子中可以看到有sub,name,iat三个字段，实际上你可以放更多的信息，只要你需要，前提是JSON格式。

下面这些字段是标准定一个的字段，用来确保jwt有效工作的。

  • iss

Issuer的简写，代表token的颁发者。

  • sub

Subject的简写，代表token的主题。

  • aud

Audience的简写，代表token的接收目标。

  • exp

Expiration Time的简写，代表token的过期时间，时间戳格式。

  • nbf

Not Before的简写，代表token在这个时间之前不能被处理，主要是纠正服务器时间偏差。

  • iat

Issued At的简写，代表token的颁发时间。

  • jti

JWT ID的简写，代表token的id，通常当不同用户认证的时候，他们的token的jti是不同的。

以上字段都是RFC 7519标准确定的字段，通常由具体的实现框架来处理，具体的使用者不需要关心。

注意，除了以上标准定义的字段，用户可以自由添加需要的信息，通常我们会把全局的、经常使用的、安全要求不高的信息写入载荷，比如用户ID、用户名等信息。

JWT认证流程

  1. 用户使用账号和密码登录，调用后端登录接口；
  2. 后端登录程序生成jwt(注意这里小写指的是具体的token)，这一步通常是由jwt插件完成的，我们只需要配置jwt加密密钥、token刷新时间、token有效时间；
  3. 后端返回jwt给前端；
  4. 前端之后的请求直接带上token即可，只要在token的有效期内；
  5. 后端收到前端的请求，会验证token的合法性、有效性，验证通过之后处理请求；
  6. 后端发送响应给前端。

JWT常见误区

  • JWT是不安全的，因为使用base64编码。这种理解是错误的，头部和载荷确实使用了base64编码，作用是编码而非加密，就是这么设计的，便于前端解码获取信息，所以头部和载荷不要存放保密信息。
  • JWT是自包含，不需要借助数据库和缓存。这种理解是错误的，当需要高级功能，比如token刷新、黑名单、多人共享账号等，还是需要借助缓存和数据库。
  • 获取头部和载荷信息之后可以修改或者伪造token。这是不可能的，即使头部和载荷的信息完全一样，但是加密的私钥不对，签名也是不对的，后端验证也没法通过。

相关推荐

NestJS入门教程系列一

介绍Nest（NestJS）是用于构建高效，可扩展的Node.js服务器端应用程序的框架。它使用渐进式JavaScript，内置并完全支持TypeScript（但开发人员仍然能够使用JavaScrip...

【推荐】一个网盘资源搜索与转存工具，支持移动端与PC端!

如果您对源码&技术感兴趣，请点赞+收藏+转发+关注，大家的支持是我分享最大的动力！！！项目介绍CloudSaver是一个基于Vue3和Express的网盘资源搜索与转存开源实用工具。它支持...

Appium原理精讲

目前使用Appium新版本和旧版本的企业数目都很多，而两个版本的安装过程和api的使用又有较大的区别。但是无论表面上的东东如何变化，内部原理都是一样的。在这里我给大家介绍一下appium的核心，增进大...

Kubernetes最小部署单元Pod

一、Kubernetes与Pod简介在当今云计算和容器化技术盛行的时代，Kubernetes已然成为容器编排领域的中流砥柱。它是一个开源的容器编排平台，由Google基于其内部使用的Bo...

最常用的四种跨域解决方案

前置知识什么是跨域？浏览器发送的请求地址（URL）与所在页面的地址不同（端口/协议/域名其一不同）。简言之，浏览器发出的请求url，与其所在页面的url不一样。此时，同源策略会让浏览器拒收服务器...

Bolt.New —— 全栈AI Web自动编程

Bolt.New是由StackBlitz公司推出的，全栈AI工具，代码编辑、运行、部署，通通一站式搞定。它使用WebContainers技术，无需任何本地安装或配置，在浏览器中，就可以运行完整的No...

Nodejs Express新手教程&高手进阶

NodejsExpress新手教程&高手进阶Express是一个NodeJS平台的框架，主要用于构于Web服务器项目。本文将通过示例介绍适合新手入门的Express基础使用，以及高手进阶知识，如：c...

Express.js 创建Node.js Web应用

Express.js是一个基于Node.js的Web应用框架，框架的设计目的是构建应用的架构和简化应用的开发。框架会解决一些通用的问题，在Express.js中，Express框架会处理如：中间件、代...

JavaScript 的 Express.js 功能及应用场景详解

Express.js是一个基于Node.js的轻量级Web应用框架，主要用于快速构建服务器端应用和API。它的核心功能包括以下关键点：1.路由管理URL路径与HTTP方法映射：通过...

nodejs的express4文件下载

在nodejs的express框架中,下载变得非常简单,就一个方法,res.download()首先express命令行生成项目基本框架:不会的看这里:http://blog.csdn.net/zz...

Express 系列:快速生成一个项目

系列预告本系列将以一个项目入手结合相关技术细节来带领大家一起学习Express这个基于Node.js的后端框架。本文首先将介绍：如何快速的生成一个具有一定结构的Express项目。Express项目结...

nodejs的express自动生成项目框架

nodejs版本为:4.X,express版本为4.X1.全局安装2个模块express、express-generator在命令行输入:npminstall-gexpressnpminsta...

express开发(一)简介与搭建

上周末去了趟上海书城，不愧是上海数得上号的书城，流行的科技书应有尽有，话不多说直接上图。最经典的C语言O(∩_∩)O最流行的java(づ￣3￣)づ超酷的R语言/(ㄒoㄒ)/~~然而，身为一个坚定的前...

Vue+Echarts可视化大屏系统后端框架搭建(附代码)

各位同学，大家好。上节课，前面我们讲解了Vue+Echarts前端部分的设计方法。这节课程，我们开始讲解使用Express进行后端设计的方法。01项目相关理论介绍什么是expressExpress是...

Shopify电商API接口开发

Shopify电商API接口开发上线流程主要包括以下步骤。北京木奇移动技术有限公司，专业的软件外包开发公司，欢迎洽谈合作。前期准备-注册Shopify账号：在Shopify官网注册，用于后续开发测试...

取消回复欢迎 你 发表评论:

一周热门
最近发表
标签列表