带authorization访问接口_一分钟带你了解JWT
一分钟带你了解JWT
JSON Web Token(JWT)是一个开放式标准(RFC 7519)，它定义了一种紧凑 且自包含 的，用于在多方传递JSON对象的技术。传递的数据可以使用数字签名增加其安全行。可以使用HMAC加密算法或RSA公钥/私钥加密方式。
- 紧凑 ：数据小，可以通过URL，POST参数，请求头发送。且数据小代表传输速度快。
- 自包含 ：使用payload数据块记录用户必要且不隐私的数据，可以有效的减少数据库访问次数，提高代码性能。
一. JWT数据结构
JWT的数据结构是 ： A.B.C。 由字符点‘.’来分隔三部分数据。
A - header 头信息
B - payload 有效荷载
C - Signature 签名
即, header.payload.signature
1. header
数据结构： {“alg”: “加密算法名称”, “typ” : “JWT”}
alg是加密算法定义内容，如：HMAC SHA256 或 RSA
typ是token类型，这里固定为JWT。
2. payload
在payload数据块中一般用于记录实体(通常为用户信息)或其他数据的。主要分为三个部分，分别是：已注册信息(registered claims)，公开数据(public claims)，私有数据(private claims)。
payload中常用信息有：iss(发行者)，exp(到期时间)，sub(主题)，aud(受众)等。前面列举的都是已注册信息。
公开数据部分一般都会在JWT注册表中增加定义。避免和已注册信息冲突。
公开数据和私有数据可以由程序员任意定义。
注意：即使JWT有签名加密机制，但是payload内容都是明文记录，除非记录的是加密数据，否则不排除泄露隐私数据的可能。不推荐在payload中记录任何敏感数据。
3. Signature
签名信息。这是一个由开发者提供的信息。是服务器验证的传递的数据是否有效安全的标准。在生成JWT最终数据的之前。先使用header中定义的加密算法，将header和payload进行加密，并使用点进行连接。如：加密后的head.加密后的payload。再使用相同的加密算法，对加密后的数据和签名信息进行加密。得到最终结果。
二. JWT执行流程
三. JWT使用场景
JWT一般用于处理用户身份验证 或数据信息交换 。
- 用户身份验证：一旦用户登录，每个后续请求都将包含JWT，允许用户访问该令牌允许的路由，服务和资源。单点登录是当今广泛使用JWT的一项功能，因为它的开销很小，并且能够轻松地跨不同域使用。
- 数据信息交换：JWT是一种非常方便的多方传递数据的载体，因为其可以使用数据前面来保证数据的有效性和安全性。
四. JWT使用方式
客户端收到服务器返回的 JWT，可以储存在 Cookie 里面，也可以储存在 localStorage。
此后，客户端每次与服务器通信，都要带上这个 JWT。你可以把它放在 Cookie 里面自动发送，但是这样不能跨域，所以更好的做法是放在 HTTP 请求的头信息Authorization字段里面，如，
Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==另一种做法是，跨域的时候，JWT 就放在 POST 请求的数据体里面。
五. JWT几个特点
- JWT 默认是不加密，但也是可以加密的。生成原始 Token 以后，可以用密钥再加密一次。
- JWT 不加密的情况下，不能将秘密数据写入 JWT。
- JWT 不仅可以用于认证，也可以用于交换信息。有效使用 JWT，可以降低服务器查询数据库的次数。
- JWT 的最大缺点是，由于服务器不保存 session 状态，因此无法在使用过程中废止某个 token，或者更改 token 的权限。也就是说，一旦 JWT 签发了，在到期之前就会始终有效，除非服务器部署额外的逻辑。
- JWT 本身包含了认证信息，一旦泄露，任何人都可以获得该令牌的所有权限。为了减少盗用，JWT 的有效期应该设置得比较短。对于一些比较重要的权限，使用时应该再次对用户进行认证。
- 为了减少盗用，JWT 不应该使用 HTTP 协议明码传输，要使用 HTTPS 协议传输。