共计 3443 个字符，预计需要花费 9 分钟才能阅读完成。
JSON Web Token (JWT) 是一种非常流行的安全标准，广泛应用于分布式系统的认证和授权中。通过使用 JWT，系统可以在不同的组件之间安全地传递用户信息，避免每次都重新验证用户身份。本文将从 JWT 的基本概念、结构、生成与解析、使用场景等方面进行详细解析，并通过丰富的代码示例帮助大家深入理解 JWT。
一、JWT 是什么？
JWT 是一种基于 JSON 的开放标准（RFC 7519），用于在网络应用环境中传输声明信息。声明的信息可以被数字签名以保证数据的完整性和安全性。JWT 通常用于身份认证系统，服务器通过生成一个 JWT 来标识用户，并且客户端会在后续的每次请求中携带该 JWT 进行身份验证。
1.1 JWT 的组成部分
JWT 包含三个部分，每部分之间通过 . 分隔：
- Header（头部）：描述 JWT 的元信息，如签名算法。
- Payload（载荷）：存储具体的用户信息，如用户 ID、权限等。
- Signature（签名）：确保 JWT 未被篡改。
JWT 的格式如下：
Header.Payload.Signature
接下来，我们将详细讲解这三部分的结构和作用。
1.2 Header（头部）
JWT 的头部通常是一个简单的 JSON 对象，包含两个字段：
alg：签名算法，比如HS256表示 HMAC-SHA256。typ：声明这个令牌的类型，通常为JWT。
一个示例头部：
{
"alg": "HS256",
"typ": "JWT"
}
然后，这个 JSON 对象会被 Base64 编码，得到 JWT 的第一部分。
1.3 Payload（载荷）
载荷部分包含实际传输的声明信息。JWT 标准规定了 7 个默认的字段（称为 ”registered claims”），包括：
iss（Issuer）：签发者exp（Expiration Time）：过期时间sub（Subject）：主题aud（Audience）：接收方iat（Issued At）：签发时间
当然，你也可以自定义一些字段，例如用户的 ID 或角色。一个示例的 payload：
{
"sub": "1234567890",
"name": "John Doe",
"admin": true
}
同样，Payload 部分会被 Base64 编码，得到 JWT 的第二部分。
1.4 Signature（签名）
签名部分用于验证 JWT 的完整性，防止 Token 被篡改。签名是通过对 Header 和Payload进行 Base64 编码，并使用指定的算法和密钥进行签名生成的。
签名的生成过程如下：
HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload),
secret)
这个签名确保了 JWT 的安全性，只有持有密钥的一方才能验证和生成 JWT。
二、JWT 的生成与解析
接下来，我们将通过代码来演示如何在实际项目中生成和解析 JWT。
2.1 生成 JWT
假设我们使用 Java 语言，并通过 java-jwt 库来生成和解析 JWT。首先，添加依赖：
dependency>
groupId>com.auth0groupId>
artifactId>java-jwtartifactId>
version>3.18.2version>
dependency>
然后我们来演示如何生成一个 JWT：
import com.auth0.jwt.JWT;
import com.auth0.jwt.algorithms.Algorithm;
import java.util.Date;
public class JwtDemo {
public static void main(String[] args) {
Algorithm algorithm = Algorithm.HMAC256("secret");
String token = JWT.create()
.withIssuer("auth0")
.withSubject("1234567890")
.withClaim("name", "John Doe")
.withClaim("admin", true)
.withIssuedAt(new Date())
.withExpiresAt(new Date(System.currentTimeMillis() + 3600 * 1000))
.sign(algorithm);
System.out.println("Generated JWT:" + token);
}
}
2.2 解析 JWT
当客户端携带 JWT 请求时，服务器需要对 JWT 进行解析和验证。下面是解析 JWT 的示例：
import com.auth0.jwt.JWT;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.DecodedJWT;
import com.auth0.jwt.JWTVerifier;
public class JwtParser {
public static void main(String[] args) {
String token = "your.jwt.token.here";
Algorithm algorithm = Algorithm.HMAC256("secret");
JWTVerifier verifier = JWT.require(algorithm)
.withIssuer("auth0")
.build();
DecodedJWT jwt = verifier.verify(token);
System.out.println("Subject:" + jwt.getSubject());
System.out.println("Name:" + jwt.getClaim("name").asString());
System.out.println("Admin:" + jwt.getClaim("admin").asBoolean());
}
}
在上面的代码中，使用 JWTVerifier 来验证 JWT 的签名和载荷的合法性。
三、JWT 的使用场景
JWT 的最大优势是可以在无状态的环境中安全传递信息，因此在现代分布式系统中非常常见。以下是几种常见的 JWT 应用场景：
3.1 用户身份认证
JWT 最典型的使用场景就是身份认证。用户登录后，服务器生成 JWT 并返回给客户端。客户端每次请求时携带这个 JWT，服务器通过验证 JWT 确定用户的身份，而不需要再次验证用户名和密码。
3.2 授权
JWT 还可以用于授权操作。服务器可以将用户的权限信息写入 JWT 的 payload 中，客户端请求时根据 JWT 中的权限信息来决定是否允许该操作。
if (jwt.getClaim("admin").asBoolean()) {
} else {
}
3.3 分布式系统的单点登录
在分布式系统中，JWT 可以作为用户跨多个子系统的身份凭证。例如，在单点登录系统中，用户登录后 JWT 会被传递到不同的子系统，各个子系统可以通过 JWT 验证用户身份。
四、JWT 的优缺点
4.1 优点
- 无状态：JWT 不依赖服务器存储任何状态信息，这使得它特别适合分布式系统。
- 可扩展性：你可以在 JWT 的载荷中添加自定义字段，灵活传递信息。
- 安全性：通过签名和加密，JWT 可以确保信息的完整性，防止被篡改。
4.2 缺点
- 长度较长：JWT 由于包含头部、载荷和签名，其长度通常比较长，可能会增加网络传输的负担。
- 无法即时失效：一旦 JWT 被生成并签发，它在过期时间到来之前始终有效，这意味着如果用户注销或者权限改变，JWT 可能不会立即失效。
五、如何确保 JWT 的安全性
虽然 JWT 可以通过签名机制保证其数据的完整性，但在实际应用中，我们仍然需要采取额外的措施来保证 JWT 的安全性：
- 使用 HTTPS：确保在 HTTPS 协议下传输 JWT，防止其被窃听或篡改。
- 设置合理的过期时间：不应让 JWT 的过期时间过长，以减少被滥用的可能性。
- 及时吊销 JWT：在用户注销或权限变更时，应考虑将其 JWT 添加到黑名单，确保其不再生效。
六、总结
在本篇文章中，我们详细介绍了 JWT 的概念、结构和生成解析方法。通过代码示例，你可以清晰了解如何在项目中使用 JWT 进行用户身份认证和授权。尽管 JWT 非常方便，但在实际应用中，我们仍需关注其安全性，采取相应的措施保障系统的安全。
JWT 是现代 Web 应用中不可或缺的技术之一，希望本文能够帮助你全面掌握 JWT 的使用与原理。如果你在项目中遇到了任何关于 JWT 的问题，可以参考本文提供的示例代码，并根据实际需求灵活调整。
原文地址: JWT 详细解析：全面掌握 JSON Web Token 及其使用
