Jwt简术

JWT

什么是JWT

从官网里可以看到，JWT是一个开放协议，它以一个可靠的，独立的方式方便在各方之间以Json的方式传输数据。Jwt可以使用秘钥(HMAC算法)或者公钥/私钥(RSA or ECDSA)的方式进行签名

应用场景

授权

常用如登录，登录成功后返回JWT，后续请求都会带上这个JWT，比如SSO

信息交换

使用公钥/私钥对签名时，可以在不同对象间传输信息

JWT结构

一个典型的JWT格式如下：

xxx.yyy.zzz

可以看到JWT由三部分组成，不同部分用.结合起来

Header
Payload
Signature

Header

Header格式如下：

{
  "alg": "HS256",
  "typ": "JWT"
}

alg表示所使用的算法，如HMAC，SHA256， RSA
typ表示token类型，也就是 JWT
Header经过base64编码后会成为JWT的第一部分

Payload

Payload包含了一些Claims，Claims里又包含了实体和额外信息，有三种类型的Claims

registered
public
private

一个典型的Payload如下：

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}

registered Claim

registered Claim是预定义的声明，不强制但建议使用，在RFC7519里可以看到，预定义的声明有以下几种

iss ((Issuer) Claim)
sub ((Subject) Claim)
aud ((Audience) Claim)
exp ((Expiration Time) Claim)
nbf ((Not Before) Claim)
iat ((Issued At) Claim)
jti ((JWT ID) Claim)

public Claim

public Claim是用户可以自定义的，但是为了避免使用冲突，应该遵循IANA JSON Web Token Registry 规范，

private Claim

private Claim就是用来存贮交换信息的部分

Payload经过base64编码后就成为了JWT的第二部分

Signature

将编码后的Header和Payload组合在一起，再加上secret，经过指定的算法加密就形成了JWT的第三部分

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

最后用.号串联起来，最终就生成了一个JWT token

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.b21wYW55X2lkIjoiZWQ5OGE4YTMtMWMyNi00OTM5LTg0MDQtMjU0OGUyMjgzOWVmIn0sImV4cCI6MTU2NzEzNzg0NywianRpVtIn0.sAlzke31nRGU_Gh_Ux8uh9uKmCnSYgQTk02GYzE97sU

使用方法

Authorization: Bearer <token>

优点

跨域
比XML结构简单，小巧
跨平台
相比Session，无需落地存储

英文版在这儿，这里是我理解翻译过来的
原地址