一篇文章带你分清楚JWT,JWS与JWE

你的名字 2022-03-22 12:44 255阅读 0赞

随着移动互联网的兴起，传统基于session/cookie的web网站认证方式转变为了基于OAuth2等开放授权协议的单点登录模式（SSO），相应的基于服务器session+浏览器cookie的Auth手段也发生了转变，Json Web Token出现成为了当前的热门的Token Auth机制。

## Json Web Token(JWT) ##

JSON Web Token（JWT）是一个非常轻巧的规范。这个规范允许我们使用JWT在两个组织之间传递安全可靠的信息。

> 官方定义:JSON Web Token (JWT) is a compact URL-safe means of representing claims to be transferred between two parties

![Image 1][]

JWT Auth

现在网上大多数介绍JWT的文章实际介绍的都是JWS(JSON Web Signature),也往往导致了人们对于JWT的误解，但是JWT并不等于JWS，JWS只是JWT的一种实现，除了JWS外，JWE(JSON Web Encryption)也是JWT的一种实现。  
下面就来详细介绍一下JWT与JWE的两种实现方式：

![Image 1][]

JWT,JWS与JWE

## JSON Web Signature(JWS) ##

JSON Web Signature是一个有着简单的统一表达形式的字符串：

![Image 1][]

JWS

头部（Header）

头部用于描述关于该JWT的最基本的信息，例如其类型以及签名所用的算法等。  
JSON内容要经Base64 编码生成字符串成为Header。

载荷（PayLoad）

payload的五个字段都是由JWT的标准所定义的。

1.  iss: 该JWT的签发者
2.  sub: 该JWT所面向的用户
3.  aud: 接收该JWT的一方
4.  exp(expires): 什么时候过期，这里是一个Unix时间戳
5.  iat(issued at): 在什么时候签发的

后面的信息可以按需补充。  
JSON内容要经Base64 编码生成字符串成为PayLoad。

签名（signature）

这个部分header与payload通过header中声明的加密方式，使用密钥secret进行加密，生成签名。  
JWS的主要目的是保证了数据在传输过程中不被修改，验证数据的完整性。但由于仅采用Base64对消息内容编码，因此不保证数据的不可泄露性。所以不适合用于传输敏感数据。

## JSON Web Encryption(JWE) ##

相对于JWS，JWE则同时保证了安全性与数据完整性。  
JWE由五部分组成：

![Image 1][]

JWE组成

具体生成步骤为：

1.  JOSE含义与JWS头部相同。
2.  生成一个随机的Content Encryption Key （CEK）。
3.  使用RSAES-OAEP 加密算法，用公钥加密CEK，生成JWE Encrypted Key。
4.  生成JWE初始化向量。
5.  使用AES GCM加密算法对明文部分进行加密生成密文Ciphertext,算法会随之生成一个128位的认证标记Authentication Tag。  
    6.对五个部分分别进行base64编码。

标准过程

从上面的JWE的输出结果，我们可以看出JWE大致需要，***生成密钥、加密密钥、加密原始报文、数字认证***等过程。我们来看看一个标准的JWE过程是怎样的：

> step 1. 明确算法，生成JWE Header
> 
> step 2. 随机生成密钥
> 
> step 3. 加密密钥，并且Base64UrlEncode，生成JWE Encrypted Key
> 
> step 4. 随机生成向量，并且Base64UrlEncode，生成 JWE Initialization Vector
> 
> step 5. 加密原始报文，并且Base64UrlEncode，生成 JWE Ciphertext
> 
> step 6. 生成认证算法生成AAD
> 
> step 7. 截断AAD，获取Authentication Tag，并且Base64UrlEncode，生成JWE Authentication Tag
> 
> step 8. 序列化以上生成的5部分数据，导出JWE Serialization数据

可见，JWE的计算过程相对繁琐，不够轻量级，因此适合与数据传输而非token认证，但该协议也足够安全可靠，用简短字符串描述了传输内容，兼顾数据的安全性与完整性。

链接：https://www.jianshu.com/p/50ade6f2e4fd

[Image 1]: