深入浅出之JWT(JSON Web Token)
ccwgpt 2025-04-27 12:47 19 浏览 0 评论
什么是JWT?
JWT是JSON Web Token的缩写，它是一种开源标准(RFC 7519)，用来定义通信双方如何安全地交换信息的格式。
本身定义比较简单，结合实践经验，我总结了几点能够更好地帮助理解什么是JWT。
重点：
- JWT之所以叫JSON Web Token，是因为其头部和载荷在编码之前都是JSON格式的数据；
- JWT是一种标准，它有很多的实现方案，比如jwt-auth，专门为php框架laravel打造，java玩家可以看下java-jwt；
- JWT规定以JSON的格式传递信息，负载payload的数据格式是JSON的，通常使用base64编码；
- JWT是自包含的，Token本身携带了验证信息，不需要借助其他工具就可以知道一个Token是否有效，以及载荷信息；
- JWT的某些实现比如黑名单机制、Token刷新等增强功能，可能也需要借助其他工具，但是这并不违背自包含特性。
JWT的结构
上图可以直观的看出JWT的结构，三种颜色代表三个部分，头部、载荷、签名。
头部
头部本身是JSON格式的，注意这里说的是编码之前的格式。头部包括两个字段，token的类型和加密算法。注意这里说的加密算法是签名的加密算法，不是头部的加密算法，也不是载荷的加密算法。实际上头部并没有经过加密，只是通过base64编码成字符串。
载荷
载荷也是JSON格式的，经过base64编码成字符串。上图例子中可以看到有sub,name,iat三个字段，实际上你可以放更多的信息，只要你需要，前提是JSON格式。
下面这些字段是标准定一个的字段，用来确保jwt有效工作的。
- iss
Issuer的简写，代表token的颁发者。
- sub
Subject的简写，代表token的主题。
- aud
Audience的简写，代表token的接收目标。
- exp
Expiration Time的简写，代表token的过期时间，时间戳格式。
- nbf
Not Before的简写，代表token在这个时间之前不能被处理，主要是纠正服务器时间偏差。
- iat
Issued At的简写，代表token的颁发时间。
- jti
JWT ID的简写，代表token的id，通常当不同用户认证的时候，他们的token的jti是不同的。
以上字段都是RFC 7519标准确定的字段，通常由具体的实现框架来处理，具体的使用者不需要关心。
注意，除了以上标准定义的字段，用户可以自由添加需要的信息，通常我们会把全局的、经常使用的、安全要求不高的信息写入载荷，比如用户ID、用户名等信息。
JWT认证流程
- 用户使用账号和密码登录，调用后端登录接口；
- 后端登录程序生成jwt(注意这里小写指的是具体的token)，这一步通常是由jwt插件完成的，我们只需要配置jwt加密密钥、token刷新时间、token有效时间；
- 后端返回jwt给前端；
- 前端之后的请求直接带上token即可，只要在token的有效期内；
- 后端收到前端的请求，会验证token的合法性、有效性，验证通过之后处理请求；
- 后端发送响应给前端。
JWT常见误区
- JWT是不安全的，因为使用base64编码。这种理解是错误的，头部和载荷确实使用了base64编码，作用是编码而非加密，就是这么设计的，便于前端解码获取信息，所以头部和载荷不要存放保密信息。
- JWT是自包含，不需要借助数据库和缓存。这种理解是错误的，当需要高级功能，比如token刷新、黑名单、多人共享账号等，还是需要借助缓存和数据库。
- 获取头部和载荷信息之后可以修改或者伪造token。这是不可能的，即使头部和载荷的信息完全一样，但是加密的私钥不对，签名也是不对的，后端验证也没法通过。
相关推荐
- 十分钟让你学会LNMP架构负载均衡（impala负载均衡）
-
业务架构、应用架构、数据架构和技术架构一、几个基本概念1、pv值pv值(pageviews):页面的浏览量概念：一个网站的所有页面，在一天内，被浏览的总次数。(大型网站通常是上千万的级别)2、u...
- AGV仓储机器人调度系统架构（agv物流机器人）
-
系统架构层次划分采用分层模块化设计，分为以下五层：1.1用户接口层功能：提供人机交互界面（Web/桌面端），支持任务下发、实时监控、数据可视化和报警管理。模块：任务管理面板：接收订单（如拣货、...
- 远程热部署在美团的落地实践（远程热点是什么意思）
-
Sonic是美团内部研发设计的一款用于热部署的IDEA插件，本文其实现原理及落地的一些技术细节。在阅读本文之前，建议大家先熟悉一下Spring源码、SpringMVC源码、SpringBoot...
- springboot搭建xxl-job(分布式任务调度系统)
-
一、部署xxl-job服务端下载xxl-job源码：https://gitee.com/xuxueli0323/xxl-job二、导入项目、创建xxl_job数据库、修改配置文件为自己的数据库三、启动...
- 大模型:使用vLLM和Ray分布式部署推理应用
-
一、vLLM：面向大模型的高效推理框架1.核心特点专为推理优化：专注于大模型（如GPT-3、LLaMA）的高吞吐量、低延迟推理。关键技术：PagedAttention：类似操作系统内存分页管理，将K...
- 国产开源之光【分布式工作流调度系统】:DolphinScheduler
-
DolphinScheduler是一个开源的分布式工作流调度系统，旨在帮助用户以可靠、高效和可扩展的方式管理和调度大规模的数据处理工作流。它支持以图形化方式定义和管理工作流，提供了丰富的调度功能和监控...
- 简单可靠高效的分布式任务队列系统
-
#记录我的2024#大家好，又见面了，我是GitHub精选君！背景介绍在系统访问量逐渐增大，高并发、分布式系统成为了企业技术架构升级的必由之路。在这样的背景下，异步任务队列扮演着至关重要的角色，...
- 虚拟服务器之间如何分布式运行?（虚拟服务器部署）
-
在云计算和虚拟化技术快速发展的今天，传统“单机单任务”的服务器架构早已难以满足现代业务对高并发、高可用、弹性伸缩和容错容灾的严苛要求。分布式系统应运而生，并成为支撑各类互联网平台、企业信息系统和A...
- 一文掌握 XXL-Job 的 6 大核心组件
-
XXL-Job是一个分布式任务调度平台，其核心组件主要包括以下部分，各组件相互协作实现高效的任务调度与管理：1.调度注册中心（RegistryCenter）作用：负责管理调度器（Schedule...
- 京东大佬问我,SpringBoot中如何做延迟队列?单机与分布式如何做?
-
京东大佬问我,SpringBoot中如何做延迟队列？单机如何做？分布式如何做呢？并给出案例与代码分析。嗯，用户问的是在SpringBoot中如何实现延迟队列，单机和分布式环境下分别怎么做。这个问题其实...
- 企业级项目组件选型(一)分布式任务调度平台
-
官网地址：https://www.xuxueli.com/xxl-job/能力介绍架构图安全性为提升系统安全性，调度中心和执行器进行安全性校验，双方AccessToken匹配才允许通讯；调度中心和执...
- python多进程的分布式任务调度应用场景及示例
-
多进程的分布式任务调度可以应用于以下场景：分布式爬虫：importmultiprocessingimportrequestsdefcrawl(url):response=re...
- SpringBoot整合ElasticJob实现分布式任务调度
-
介绍ElasticJob是面向互联网生态和海量任务的分布式调度解决方案，由两个相互独立的子项目ElasticJob-Lite和ElasticJob-Cloud组成。它通过弹性调度、资源管控、...
- 分布式可视化 DAG 任务调度系统 Taier 的整体流程分析
-
Taier作为袋鼠云的开源项目之一，是一个分布式可视化的DAG任务调度系统。旨在降低ETL开发成本，提高大数据平台稳定性，让大数据开发人员可以在Taier直接进行业务逻辑的开发，而不用关...
- SpringBoot任务调度:@Scheduled与TaskExecutor全面解析
-
一、任务调度基础概念1.1什么是任务调度任务调度是指按照预定的时间计划或特定条件自动执行任务的过程。在现代应用开发中，任务调度扮演着至关重要的角色，它使得开发者能够自动化处理周期性任务、定时任务和异...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- MVC框架 (46)
- spring框架 (46)
- 框架图 (58)
- flask框架 (53)
- quartz框架 (51)
- abp框架 (47)
- jpa框架 (47)
- laravel框架 (46)
- springmvc框架 (49)
- 分布式事务框架 (65)
- scrapy框架 (56)
- shiro框架 (61)
- 定时任务框架 (56)
- java日志框架 (61)
- JAVA集合框架 (47)
- grpc框架 (55)
- ppt框架 (48)
- 内联框架 (52)
- winform框架 (46)
- gui框架 (44)
- cad怎么画框架 (58)
- ps怎么画框架 (47)
- ssm框架实现登录注册 (49)
- oracle字符串长度 (48)
- oracle提交事务 (47)