freeCodeCamp.org
·
什么是JSON Web令牌（JWT）？
💡
原文英文，约3300词，阅读约需12分钟。
📝
内容提要
JWT（JSON Web Token）是一种安全信息传输的开放标准，由头部、负载和签名三部分组成。通过对称或非对称算法签名，确保信息的真实性和完整性。JWT常用于用户认证，使用时需遵循安全最佳实践，如使用HTTPS、保护签名密钥及避免在负载中存储敏感数据。
🎯
关键要点
- JWT（JSON Web Token）是一种安全信息传输的开放标准，由头部、负载和签名三部分组成。
- JWT通过对称或非对称算法签名，确保信息的真实性和完整性。
- JWT常用于用户认证，使用时需遵循安全最佳实践，如使用HTTPS、保护签名密钥及避免在负载中存储敏感数据。
- JWT的结构包括头部、负载和签名，头部包含算法和类型信息，负载存储实际数据，签名用于验证信息的完整性。
- JWT的负载部分可以包含注册声明、公共声明和私有声明，注册声明包括iss、sub、aud等。
- JWT的签名部分用于验证信息的来源和完整性，使用私钥进行签名，公钥用于验证。
- 对称签名（如HS256）使用单一共享密钥进行签名和验证，而非对称签名（如RS256）使用公钥和私钥对。
- JWT的典型认证流程包括用户登录、认证服务器发放JWT、客户端存储JWT、客户端发起API请求、API验证JWT并授权请求。
- 使用JWT时应遵循安全最佳实践，如使用HTTPS、保护签名密钥、设置短期有效的访问令牌、避免在负载中存储敏感数据等。
➡️
