DEV Community
·
深入掌握JWT（JSON Web Token）
💡
原文英文，约1300词，阅读约需5分钟。
📝
内容提要
JSON Web Token（JWT）是一种流行的无状态认证解决方案，通过生成包含用户信息的JSON对象，避免服务器保存会话数据。JWT由头部、负载和签名三部分组成，使用Base64URL编码。虽然JWT可用于身份验证和信息交换，但不提供加密，需谨慎处理敏感信息。
🎯
关键要点
- JSON Web Token（JWT）是一种流行的无状态认证解决方案。
- JWT由头部、负载和签名三部分组成，使用Base64URL编码。
- 传统的用户认证流程在服务器上保存会话数据，存在扩展性差的问题。
- JWT的原理是服务器在认证后生成JSON对象并返回给用户，用户在后续请求中发送该对象。
- JWT的结构包括头部、负载和签名，三部分通过点（.）分隔。
- 头部描述JWT的元数据，通常包含签名算法和类型。
- 负载部分存储实际需要传输的数据，JWT定义了7个官方字段。
- 签名部分用于防止数据篡改，使用服务器的秘密密钥生成签名。
- JWT可以存储在Cookie或localStorage中，建议在HTTP请求头的Authorization字段中传递。
- JWT默认不加密，敏感信息不应放入JWT中。
- JWT可以用于身份验证和信息交换，减少服务器查询数据库的次数。
- JWT的缺点是无法在使用过程中撤销或更改权限，且一旦泄露，权限将被他人获取。
- 为了减少盗用，JWT的有效期应设置较短，并应通过HTTPS协议传输。
❓
延伸问答
JWT是什么，它的主要用途是什么？
JWT（JSON Web Token）是一种无状态认证解决方案，主要用于身份验证和信息交换。
JWT的结构包含哪些部分？
JWT由头部、负载和签名三部分组成，三部分通过点（.）分隔。
JWT如何防止数据篡改？
JWT通过在生成时添加签名，使用服务器的秘密密钥来防止数据篡改。
JWT的有效期应该如何设置？
为了减少盗用，JWT的有效期应设置较短，并应通过HTTPS协议传输。
JWT的负载部分可以存储哪些信息？
负载部分可以存储实际需要传输的数据，包括官方字段如iss、exp、sub等，也可以定义私有字段。
使用JWT的缺点是什么？
JWT的缺点包括无法撤销或更改权限，一旦泄露，权限将被他人获取。
➡️
