JWT 基础知识
原文英文，约400词，阅读约需2分钟。
📝
内容提要
JSON Web令牌（JWT）由三部分组成：头部、载荷和签名。JWT用于身份验证和授权。JWT应与加密或HTTPS一起使用以确保机密性。它们还应设置过期时间以降低风险。JWT是无状态的，允许安全传输身份验证和授权信息。
🔎
延伸解读
JWT 的组成与编码方式
JWT 由头部、载荷和签名三部分组成，每部分都使用 Base64Url 编码，并以点号分隔。头部描述令牌类型和签名算法，载荷包含关于用户的声明或数据，签名则通过将编码后的头部和载荷与密钥结合生成。这种结构使得 JWT 可以安全地传输信息，但需注意 Base64Url 编码并非加密，仅用于数据表示。
JWT 在身份验证与授权中的应用
JWT 常用于身份验证，服务器在用户成功登录后发放令牌，客户端在后续请求中携带该令牌，服务器验证其签名以确认用户身份。同时，JWT 也可用于授权，令牌中可包含角色或权限信息，决定用户能访问哪些资源。这种机制简化了服务端状态管理，但需确保令牌的安全传输和存储。
使用 JWT 时的安全注意事项
JWT 默认不加密，因此不应在载荷中放置敏感信息。为确保机密性，应使用加密的 JWT 或通过 HTTPS 传输。此外，必须设置过期时间（exp 声明）以限制令牌有效期，降低泄露风险。始终验证签名是保证令牌真实性和完整性的关键步骤，忽视这些措施可能导致安全漏洞。
❓
Q&A
JWT的结构包括哪些部分？
JWT由头部、载荷和签名三部分组成。
JWT如何用于身份验证？
JWT常用于身份验证，服务器在用户成功登录后发放令牌，客户端在后续请求中包含该令牌。
JWT的载荷部分包含哪些类型的声明？
载荷包含注册声明、公共声明和私有声明三种类型的声明。
使用JWT时需要注意哪些安全问题？
JWT默认不加密，敏感信息不应包含在载荷中，且应设置过期时间以降低风险。
JWT的签名是如何生成的？
签名通过将编码的头部和载荷与密钥结合，使用指定的算法生成。
JWT的过期时间有什么重要性？
设置过期时间可以限制JWT的有效期，降低被盗用的风险。
🏷️
