Shiro（八）：JWT介绍

1、什么是JWT？

      JWT（JSON Web Token，JSON Web令牌）是一种开放标准（RFC 7519），用于在网络应

     用环境间安全地传递声明（claims）作为JSON对象；JWT会按指定的加密算法将该JSON对

     象加密成一个字符串。

     例如，服务器可以生成具有声明 “以管理员身份登录”（一般在 claims 中声明） 的令牌，并将

     其提供给客户端，客户端可以使用该令牌来证明客户是以管理员身份登录的。令牌由服务器的

     密钥签名，因此服务器能够验证令牌是否合法。

      通俗的来讲，JWT就是一个用于加密或解密且不允许修改的字符串的字符串。

2、JWT的结构

     JWT是一种紧凑的、URL安全的表示方式，用于在两方之间传输信息。它由三部分组成：

            JWT格式：Header.Payload.Signature

     1）Header（标头）

          Header 主要包含JWT令牌类型和用于生成签名的加密算法，Header示例如下所示：

{"alg":"HS256","type":"JWT"
}

                HS256 表示当前令牌使用 HMAC-HSA256 算法进行签名

     2）Payload（有效负载）

          Payload 主要包含声明（claims），即要传输的数据；是关于实体（通常是用户）和

          其他数据的描述。有三种类型的声明：

                  I）注册声明：预定义声明，如iss, exp, sub, aud等

                  II）公开声明

                  III）私有声明

                  示例如下所示：

{"sub": "1234567890","name": "John Doe","admin": true,"iat": 1516239022
}

     3）Signature（签名）

          Signature 是将通过将编码后的header、编码后的payload、一个密钥和header中指定的

          算法生成签名；用于验证消息在传输过程中没有被篡改。

          签名的计算方式是：先使用base64url 对 标头Header 和 有效负载Payload 进行编码，

                                           并将编码结果以英文句号（.）拼接起来，最后通过标头Header中的

                                           加密算法对密钥key和拼接结果进行加密生成签名Signature，

                                           如下所示：

//密钥
key = "secretKey"
//通过base64url对标头Header 和 有效负载Payload 进行编码，并以“.” 进行连接
unsignedToken = EncodeBase64(Header) + "." + EncodeBase64(Payload)
//生成签名key
signature = HMAC-HSA256(key,unsignedToken)

     

      最后将Header 、Payload  和Signature 以英文句号（.）拼接在一起就是JWT。

      为了将他们拼接在一起，我们将签名Signature也以base64url 进行编码，如下所示：

//生成JWTtoken = EncodeBase64(Header) + "." + EncodeBase64(Payload) + "." + EncodeBase64(signature)

   

3、JWT工作流程  

      JWT工作流程如下图所示：

              

3.1、客户端登录与JWT令牌获取

         用户通过“用户名/密码” 的方法向认证服务器发送登录认证请求；服务器验证用户身份，若

        验证通过，则生成JWT，并将生成的JWT返回给客户端

3.2、客户端携带JWT令牌访问资源

         客户端将 JWT 存储在本地（如 localStorage、sessionStorage 或内存）

         客户端在后续请求通过 HTTP 头部（如 Authorization: Bearer <JWT>）携带 JWT令牌

3.3、服务器验证JWT并处理后续请求

         服务端从请求头中提取JWT令牌，并使用预共享的密钥或公钥验证签名是否有效，确保

        JWT令牌未被篡改；JWT令牌校验通过则处理请求并返回处理结果，否则直接返回错误信息

3.4、令牌刷新

         在实际工作中，一般给JWT设置较短的过期时间，当客户端jwt令牌过期后，执行 

         Refresh Token 向服务端请求新的JWT，即：短期JWT令牌 + 长期刷新JWT

4、JWT优点

      相对于传统的Session，JWT有如下优点：

      1）无状态，服务端不需要存储Session会话信息，降低服务端压力

      2）支持跨域，适用于分布式系统和单点登录

      3）灵活性好，JWT中可以包含用户自定义的数据（有效负载）

      4）安全性好，JWT使用签名加密的方式，不允许被修改。

5、JWT使用场景

     1）身份验证和授权

     2）信息交换，可以包含自定义数据

     3）分布式系统和单点登录

6、JWT使用时需要注意的点

     1）不要将敏感信息放入JWT

     2）最好使用HTTPS请求来传输JWT，更安全

     3）JWT使用时需要设置合理的过期时间

     4）使用强密钥