jwt中的token里面包含哪些内容？

你的名字 2022-11-17 05:57 169阅读 0赞

### 目录 ###

*   *  1、定义
     *  2、作用
     *  3、结构
     *   *  3.1、Header
         *  3.2、Payload
         *  3.3、Signature
     *  4、生成token的代码

## 1、定义 ##

JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。

## 2、作用 ##

**1、Authorization (授权) ：** 这是使用JWT的最常见场景。一旦用户登录，后续每个请求都将包含JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是现在广泛使用的JWT的一个特性，因为它的开销很小，并且可以轻松地跨域使用。

**2、Information Exchange (信息交换) ：** 对于安全的在各方之间传输信息而言，JSON Web Tokens无疑是一种很好的方式。因为JWTs可以被签名，例如，用公钥/私钥对，你可以确定发送人就是它们所说的那个人。另外，由于签名是使用头和有效负载计算的，您还可以验证内容没有被篡改。

## 3、结构 ##

生成的token结构是：`header.payload.signature`，例如：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQyNDQ5OTYz_size_16_color_FFFFFF_t_70]  
接下来让我们来具体看一下这些结构中到底包含什么

### 3.1、Header ###

header典型的由两部分组成：token的类型（“JWT”）和算法名称（比如：HMAC SHA256或者RSA等等)

![在这里插入图片描述][20210408221242403.png]  
然后，用Base64对这个JSON编码就得到JWT的第一部分

### 3.2、Payload ###

JWT的第二部分是payload，它包含声明（要求）。声明是关于实体(通常是用户信息，也就是程序员放入token中的数据)和其他数据的声明。声明有三种类型: registered, public 和 private。

Registered claims : 这里有一组预定义的声明，它们不是强制的，但是推荐。比如：iss (issuer), exp (expiration time), sub (subject), aud (audience)等。  
Public claims : 可以随意定义。  
Private claims : 用于在同意使用它们的各方之间共享信息，并且不是注册的或公开的声明。

![在这里插入图片描述][20210408221312933.png]  
对payload进行Base64编码就得到JWT的第二部分

**注意：** 不要在JWT的payload或header中放置敏感信息，除非它们是加密的。

### 3.3、Signature ###

为了得到签名部分，你必须有编码过的header、编码过的payload、一个秘钥，签名算法是header中指定的那个，然对它们签名即可。

![在这里插入图片描述][20210408221402780.png]  
签名是用于验证消息在传递过程中有没有被更改，并且，对于使用私钥签名的token，它还可以验证JWT的发送方是否为它所称的发送方。

## 4、生成token的代码 ##

public class JwtUtils { 
    
        // 设置token的过期时间是一天
        private static final long EXPIRE = 1000 * 60 * 60 * 24;
        // 加盐
        private static final String APP_SECRET = "ukc8BDbRigUDaY6pZFfWus2jZWLPHO";
    
        /** * 获取token * * @param id 用户id * @param nickname 用户昵称 * @return */
        public static String getJwtToken(String id, String nickname) { 
    
            String JwtToken = Jwts.builder()
                    .setHeaderParam("typ", "JWT")
                    .setHeaderParam("alg", "HS256")
                    .setSubject("guli-user")
                    .setIssuedAt(new Date())
                    .setExpiration(new Date(System.currentTimeMillis() + EXPIRE))
                    .claim("id", id)
                    .claim("nickname", nickname)
                    .signWith(SignatureAlgorithm.HS256, APP_SECRET)
                    .compact();
    
            return JwtToken;
        }
        ………………
    }

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQyNDQ5OTYz_size_16_color_FFFFFF_t_70]: /images/20221022/ea07e66ce2084bdeb8ceb852a6365e43.png
[20210408221242403.png]: /images/20221022/2afb9bf8a2c844819575edcae9435859.png
[20210408221312933.png]: /images/20221022/350fa94c084a48328cc998a66d6ee704.png
[20210408221402780.png]: /images/20221022/cdb612c3901c4402b49361375aae8a08.png