什么是JWT（Json web token）：
JWT是目前最流行的跨域认证解决方案。基于json的开放标准（RFC7用于519），以token的方式代替传统的session-cookie模式，用于服务器，客户端传递信息签名验证。
传统的cookie-session鉴权：
1. 客户端使用用户名和密码登录
2. 服务器端验证账号密码通过后，在session里保存一些数据（比如说用户UID，登录时间等等）
3. 服务器向用户返回一个session_id，写入用户的cookie中
4. 此后用户的每一次请求都用 把cookie中的这个sessioni_d传给服务器
5. 服务器接收到session_id 找到之前保存的数据就可以知道用户有没有登录
传统方式的缺点：
1. session通常放在内存中，用户数量如果过大会对服务器产生压力
2. 扩展性。 哪怕session以文件形式保存，放在redis中。对于分布式系统来说会产生高流量的数据读取（文件同步读取问题）
3. 容易受到csrf攻击
JWT的验证方式：
1. 客户端使用用户名和密码的方式请求登录
2. 服务器验证账号和密码的真伪，如果通过后会返回一个token给客户端
3. 客户端收到token之后缓存起来，比如放在浏览器中的Local Stage中，之后的每次请求都会携带token
4. 服务器收到token之后，进行验证。通过验证则返回数据
JWT的优点：
1. 服务器不用session了，变为无状态。减小了开支
2. jwt构成简单，占用很少的字节
3. json格式通用。不用语言之间都可以处理
JWT的结构：
jwt头部：
{
'typ': 'JWT', // 这个token的类型：默认jwt，写死
'alg': 'HS256' // 签名的算法，默认是HMAC SHA256
}
然后将头部进行base64编码, 构成了第一部分：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
载荷payload：
载荷也是一串json，用来存放实际需要传递的数据。他由三部分组成
官方标准的字段声明（JWT规定了7个官方标准字段，非必填。为了紧凑。声明名称都是三个字符的缩写）
iss: jwt签发者
sub: jwt所面向的用户
aud: 接收jwt的一方
exp: jwt的过期时间，这个过期时间必须要大于签发时间
nbf: 定义在什么时间之前，该jwt都是不可用的.
iat: jwt的签发时间
jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击。
公共的字段声明
私有的字段声明
定义一个payload: （这里是不加密的，不要放敏感数据）
{
"user_name": "John Doe",
"user_id": 10
}
BASE64后的结果： eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9
签名signature：
JWT的第三部分是一个签证（签名）信息，即对前两部分签名后得到的一个字符串。
签名：使用密钥（SECRECT_KEY ）对数据进行加密，得到了一个值（签名）。
签名的作用：防止数据篡改，客户端传给服务器的jwt如果被修改过，服务器验签（校验）会不通过。
base64UrlEncode：
Base64编码 使用的字符包括大小写字母各26个，加上10个数字，和加号“+”，斜杠“/”，一共64个字符，等号“=”用来作为后缀用途。
为了更好地在url上传递，=可以省略，+替换为- ，/替换为_
JWT的使用：
1.http头部加上 Authorize：bearer token
2. 直接url后面通过一个get参数传递
JWT校验真伪：
1. 服务器收到JWT
2. 将header和payload 用秘钥和对应的算法生成签名
3. 判断生成的签名和jwt的第三部分是否一致
4. 一致则代表可信，不一致则返回错误
网友评论