百度360必应搜狗淘宝本站头条
框架图cad怎么画框架grpc框架flask框架scrapy框架
当前位置：网站首页 > 技术文章 > 正文

深入浅出之JWT(JSON Web Token)

ccwgpt 2025-04-27 12:47 10 浏览 0 评论

什么是JWT?

JWT是JSON Web Token的缩写，它是一种开源标准(RFC 7519)，用来定义通信双方如何安全地交换信息的格式。

本身定义比较简单，结合实践经验，我总结了几点能够更好地帮助理解什么是JWT。

重点：

  • JWT之所以叫JSON Web Token，是因为其头部和载荷在编码之前都是JSON格式的数据；
  • JWT是一种标准，它有很多的实现方案，比如jwt-auth，专门为php框架laravel打造，java玩家可以看下java-jwt；
  • JWT规定以JSON的格式传递信息，负载payload的数据格式是JSON的，通常使用base64编码；
  • JWT是自包含的，Token本身携带了验证信息，不需要借助其他工具就可以知道一个Token是否有效，以及载荷信息；
  • JWT的某些实现比如黑名单机制、Token刷新等增强功能，可能也需要借助其他工具，但是这并不违背自包含特性。

JWT的结构

上图可以直观的看出JWT的结构，三种颜色代表三个部分，头部、载荷、签名。

头部

头部本身是JSON格式的，注意这里说的是编码之前的格式。头部包括两个字段，token的类型和加密算法。注意这里说的加密算法是签名的加密算法，不是头部的加密算法，也不是载荷的加密算法。实际上头部并没有经过加密，只是通过base64编码成字符串。

载荷

载荷也是JSON格式的，经过base64编码成字符串。上图例子中可以看到有sub,name,iat三个字段，实际上你可以放更多的信息，只要你需要，前提是JSON格式。

下面这些字段是标准定一个的字段，用来确保jwt有效工作的。

  • iss

Issuer的简写，代表token的颁发者。

  • sub

Subject的简写，代表token的主题。

  • aud

Audience的简写，代表token的接收目标。

  • exp

Expiration Time的简写，代表token的过期时间，时间戳格式。

  • nbf

Not Before的简写，代表token在这个时间之前不能被处理，主要是纠正服务器时间偏差。

  • iat

Issued At的简写，代表token的颁发时间。

  • jti

JWT ID的简写，代表token的id，通常当不同用户认证的时候，他们的token的jti是不同的。

以上字段都是RFC 7519标准确定的字段，通常由具体的实现框架来处理，具体的使用者不需要关心。

注意，除了以上标准定义的字段，用户可以自由添加需要的信息，通常我们会把全局的、经常使用的、安全要求不高的信息写入载荷，比如用户ID、用户名等信息。

JWT认证流程

  1. 用户使用账号和密码登录，调用后端登录接口；
  2. 后端登录程序生成jwt(注意这里小写指的是具体的token)，这一步通常是由jwt插件完成的，我们只需要配置jwt加密密钥、token刷新时间、token有效时间；
  3. 后端返回jwt给前端；
  4. 前端之后的请求直接带上token即可，只要在token的有效期内；
  5. 后端收到前端的请求，会验证token的合法性、有效性，验证通过之后处理请求；
  6. 后端发送响应给前端。

JWT常见误区

  • JWT是不安全的，因为使用base64编码。这种理解是错误的，头部和载荷确实使用了base64编码，作用是编码而非加密，就是这么设计的，便于前端解码获取信息，所以头部和载荷不要存放保密信息。
  • JWT是自包含，不需要借助数据库和缓存。这种理解是错误的，当需要高级功能，比如token刷新、黑名单、多人共享账号等，还是需要借助缓存和数据库。
  • 获取头部和载荷信息之后可以修改或者伪造token。这是不可能的，即使头部和载荷的信息完全一样，但是加密的私钥不对，签名也是不对的，后端验证也没法通过。

相关推荐

团队管理“布阵术”:3招让你的团队战斗力爆表!

为何古代军队能够以一当十？为何现代企业有的团队高效似“特种部队”，有的却松散若“游击队”？**答案正隐匿于“布阵术”之中！**今时今日，让我们从古代兵法里萃取3个核心要义，助您塑造一支战斗力爆棚的...

知情人士回应字节大模型团队架构调整

【知情人士回应字节大模型团队架构调整】财联社2月21日电，针对原谷歌DeepMind副总裁吴永辉加入字节跳动后引发的团队调整问题，知情人士回应称：吴永辉博士主要负责AI基础研究探索工作，偏基础研究；A...

豆包大模型团队开源RLHF框架，训练吞吐量最高提升20倍

强化学习（RL）对大模型复杂推理能力提升有关键作用，但其复杂的计算流程对训练和部署也带来了巨大挑战。近日，字节跳动豆包大模型团队与香港大学联合提出HybridFlow。这是一个灵活高效的RL/RL...

创业团队如何设计股权架构及分配（创业团队如何设计股权架构及分配方案）

创业团队的股权架构设计，决定了公司在随后发展中呈现出的股权布局。如果最初的股权架构就存在先天不足，公司就很难顺利、稳定地成长起来。因此，创业之初，对股权设计应慎之又慎，避免留下巨大隐患和风险。两个人如...

消息称吴永辉入职后引发字节大模型团队架构大调整

2月21日，有消息称前谷歌大佬吴永辉加入字节跳动，并担任大模型团队Seed基础研究负责人后，引发了字节跳动大模型团队架构大调整。多名原本向朱文佳汇报的算法和技术负责人开始转向吴永辉汇报。简单来说，就是...

31页组织效能提升模型，经营管理团队搭建框架与权责定位

分享职场干货，提升能力！为职场精英打造个人知识体系，升职加薪！31页组织效能提升模型如何拿到分享的源文件：请您关注本头条号，然后私信本头条号“文米”2个字，按照操作流程，专人负责发送源文件给您。...

异形柱结构（异形柱结构技术规程）

下列关于混凝土异形柱结构设计的说法，其中何项正确？（A）混凝土异形柱框架结构可用于所有非抗震和抗震设防地区的一般居住建筑。（B）抗震设防烈度为6度时，对标准设防类（丙类）采用异形柱结构的建筑可不进行地...

职场干货:金字塔原理（金字塔原理实战篇）

金字塔原理的适用范围：金字塔原理适用于所有需要构建清晰逻辑框架的文章。第一篇：表达的逻辑。如何利用金字塔原理构建基本的金字塔结构受众（包括读者、听众、观众或学员）最容易理解的顺序：先了解主要的、抽象的...

底部剪力法（底部剪力法的基本原理）

某四层钢筋混凝土框架结构，计算简图如图1所示。抗震设防类别为丙类，抗震设防烈度为8度（0.2g），Ⅱ类场地，设计地震分组为第一组，第一自振周期T1=0.55s。一至四层的楼层侧向刚度依次为：K1=1...

结构等效重力荷载代表值（等效重力荷载系数）

某五层钢筋混凝土框架结构办公楼，房屋高度25.45m。抗震设防烈度8度，设防类别丙类，设计基本地震加速度0.2g，设计地震分组第二组，场地类别为Ⅱ类，混凝土强度等级C30。该结构平面和竖向均规则。假定...

体系结构已成昭告后世善莫大焉（体系构架是什么意思）

实践先行也理论已初步完成框架结构留余后人后世子孙俗话说前人栽树后人乘凉在夏商周大明大清民国共和前人栽树下吾之辈已完成结构体系又俗话说青出于蓝而胜于蓝各个时期任务不同吾辈探索框架结构体系经历有限肯定发展...

框架柱抗震构造要求（框架柱抗震设计）

某现浇钢筋混凝土框架-剪力墙结构高层办公楼，抗震设防烈度为8度（0.2g），场地类别为Ⅱ类，抗震等级：框架二级，剪力墙一级，混凝土强度等级：框架柱及剪力墙C50，框架梁及楼板C35，纵向钢筋及箍筋均采...

梁的刚度、挠度控制（钢梁挠度过大会引起什么原因）

某办公楼为现浇钢筋混凝土框架结构，r0=1.0，混凝土强度等级C35，纵向钢筋采用HRB400，箍筋采用HPB300。其二层（中间楼层）的局部平面图和次梁L-1的计算简图如图1～3（Z）所示，其中，K...

死要面子!有钱做大玻璃窗，却没有钱做“柱和梁”，不怕房塌吗?

活久见，有钱做2层落地大玻璃窗，却没有钱做“柱子和圈梁”，这样的农村自建房，安全吗？最近刷到个魔幻施工现场，如下图，这栋5开间的农村自建房，居然做了2个全景落地窗仔细观察，这2个落地窗还是飘窗，为了追...

不是承重墙，物业也不让拆?话说装修就一定要拆墙才行么

最近发现好多朋友装修时总想拆墙“爆改”空间，别以为只要避开承重墙就能随便砸！我家楼上邻居去年装修，拆了阳台矮墙想扩客厅，结果物业直接上门叫停。后来才知道，这种配重墙拆了会让阳台承重失衡，整栋楼都可能变...

取消回复欢迎 你 发表评论:

一周热门
最近发表
标签列表