JWT 导图

Love The Way You Lie 2022-04-17 01:57 113阅读 0赞

### 简介 ###

#### web 用户保持 ####

*  一般情况下，web项目都是通过session进行认证，每次请求数据时，都会把sessionid放在cookie中，以便与服务端保持会话。
 *  前后端分离项目中，通过token进行认证（登录时，生成唯一的token凭证），每次请求数据时，都会把token放在header中，服务端解析token，并确定用户身份及用户权限，数据通过json交互。  
      
    token一般都是UUID生成的一个随机码，作为一个key使用，从缓存中获取具体的用户信息。所以一般需要一个存储介质来保存token和用户信息。在一些场景中，如单点登录时候有点麻烦。
 *  jwt 也算是一个特殊的token，不过jwt中自带了用户的相关信息，所以不需要存储介质，只需要验证签名保证安全的前提下就可以直接获取到用户的相关信息。

#### 回顾 session，cookie ####

*  我们都知道http是无状态的，所以需要某种机制来识别用户和保存用户的状态。而这个机制就是session。session是保存在服务端的，服务器通过session辨别用户，然后做权限认证等。
 *  那如何才知道用户的session是哪个？这时候cookie就出场了，浏览器第一次与服务器建立连接的时候，服务器会生成一个sessionid返回浏览器，浏览器把这个sessionid存储到cookie当中，以后每次发起请求都会在请求头cookie中带上这个sessionid信息，所以服务器就是根据这个sessionid所以key获取到具体session。
 *  涉及到集群环境得话，session需要弄成分布式session，从而保证多个应用的会话状态一致性。

#### Token ####

*  token，就是我们常说的用户身份令牌。只有涉及到受限资源的访问时候才需要身份令牌，所以，在访问开放资源时候http中是没有token的信息的，也即是说这时候会话是完全无状态的。token的是在用户登录以后生成的。用户登录之后我们会生成一个token作为key保存用户的信息并返回给客户端。保存方式set（token，用户信息）存储到redis等介质。  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1OTU4Nzg4_size_16_color_FFFFFF_t_70]

### jwt是什么 ###

*  Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519)。该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景。
 *  JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。

#### 特点 ####

*  简洁(Compact): 可以通过URL，POST参数或者在HTTP header发送，因为数据量小，传输速度也很快。
 *  自包含(Self-contained)：负载中包含了所有用户所需要的信息，避免了多次查询数据库或缓存。

#### jwt消息结构 ####

jwt有3个组成部分，分别是

*  头部（header)
 *  载荷（payload)
 *  签证（signature)

两个点号把jwt分成了3部分，分别对应着上面说的头部，载荷，签证。

#### 头部 ####

Jwt的头部承载两部分信息：

*  声明类型，这里是jwt
 *  声明加密的算法，通常直接使用HMACSHA256，就是HS256了  
    `{"alg":"HS56","typ":"JWT"}`
 *  然后将头部进行base64编码构成了第一部分：`eyJ...`

#### 载荷 ####

*  这里是承载的意思。也就是说这里是承载消息具体内容的地方。

内容又可以分为3中标准

*  标准中注册的声明
 *  公共的声明
 *  私有的声明

**payload-标准中注册的声明 (建议但不强制使用) ：**

*  iss: jwt签发者
 *  sub: jwt所面向的用户
 *  aud: 接收jwt的一方
 *  exp:jwt的过期时间，这个过期时间必须要大于签发时间
 *  nbf: 定义在什么时间之前，该jwt都是不可用的
 *  iat: jwt的签发时间
 *  jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击。

**payload-公共的声明：**

*  公共的声明可以添加任何的信息。一般这里我们会存放一下用户的基本信息（非敏感信息）。

**payload-私有的声明 ：**

*  私有声明是提供者和消费者所共同定义的声明。

最后将载荷进行 base64 编码构成了第二部分：`。。。`

### 结束 ###

*  JWT适合一次性的命令认证，颁发一个有效期极短的JWT，即使暴露了危险也很小，由于每次操作都会生成新的JWT，因此也没必要保存JWT，真正实现无状态。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1OTU4Nzg4_size_16_color_FFFFFF_t_70]: /images/20220417/d0028d5d1a014c1e84fc317a79c5acee.png