JSON Web Token

What is JSON Web Token?

JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑且自包含的方式，用于作为JSON对象在各方之间安全地传输信息。可以验证和信任此信息，因为它是数字签名的。JWTs可以使用秘密(使用HMAC算法)或使用RSA或ECDSA的公钥/私钥对进行签名。

虽然JWTs也可以加密以在各方之间提供保密性，但我们将重点关注已签名的令牌。签名的令牌可以验证其中包含的声明的完整性，而加密的令牌则可以向其他方隐藏这些声明。当使用公钥/私钥对对令牌进行签名时，签名还证明只有持有私钥的一方才是签名的一方。

When should you use JSON Web Tokens?

下面是一些JSON Web令牌很有用的场景:

• Authorization:这是使用JWT最常见的场景。一旦用户登录，随后的每个请求都将包括JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是JWT目前广泛使用的一个特性，因为它的开销很小，而且可以很容易地跨不同领域使用。

• Information Exchange:JSON Web令牌是在各方之间安全地传输信息的好方法。因为可以对jwt进行签名(例如，使用公钥/私钥对)，所以可以确保发送者就是他们所说的发送者。此外，由于签名是使用报头和有效负载计算的，您还可以验证内容没有被篡改。

What is the JSON Web Token structure?

在其紧凑的形式中，JSON Web令牌由三个由点(.)分隔的部分组成，它们是:

• Header
• Payload
• Signature

因此，JWT通常如下所示。

xxxxx.yyyyy.zzzzz

让我们把不同的部分分开。

Header

头通常由两部分组成:令牌的类型(JWT)和正在使用的签名算法(如HMAC SHA256或RSA)。
For example:

{
  "alg": "HS256",
  "typ": "JWT"
}

然后，这个JSON编码为Base64Url，以形成JWT的第一部分。

Payload

令牌的第二部分是有效负载，它包含声明。声明是关于实体(通常是用户)和其他数据的语句。声明有三种类型: registered 、public和 *private *。

• 注册声明:这是一组预定义的声明，不是强制性的，而是推荐的，以提供一组有用的、可互操作的声明。其中包括:iss(发行者)、exp(到期时间)、sub(主题)、aud(观众)和其他。

注意，声明名称只有三个字符长，JWT的目的是紧凑。

• 公开声明:这些可以由使用JWTs的人随意定义。但是为了避免冲突，应该在IANA JSON Web令牌注册表中定义它们，或者将它们定义为包含抗冲突命名空间的URI。

• 私有声明:这些定制声明是为了在同意使用它们的各方之间共享信息而创建的，既不是注册声明，也不是公共声明。

An example payload could be:

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}

然后对Payload进行Base64Url编码，以形成JSON Web令牌的第二部分。

请注意，对于已签名的令牌，此信息虽然受保护不被篡改，但任何人都可以读取。除非加密，否则不要将机密信息放入JWT的有效负载或头元素中。

Signature

要创建签名部分，您必须使用已编码的header、已编码的payload、一个密钥、header中指定的algorithm ，并对其进行签名。

例如，如果你想使用HMAC SHA256算法，签名将按照如下方式创建:

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

签名用于验证消息在整个过程中没有被更改，并且，对于使用私钥签名的令牌，它还可以验证JWT的发送方就是它所说的发送方。

Putting all together
输出是三个由点分隔的base64 url字符串，这些点可以在HTML和HTTP环境中轻松传递，并且与基于xml的标准(如SAML)相比更紧凑。

下面显示了JWT，它编码了前面的头和有效负载，并使用一个秘密签名。

image

如果您想使用JWT并将这些概念付诸实践，您可以使用 jwt.io Debugger
解码、验证和生成JWTs。

image