JWT 学习笔记

悠悠 2022-11-30 04:28 171阅读 0赞

### JWT 学习笔记 ###

*  一句话介绍
 *  知识点
 *  JWT 结构
 *   *  Registered claims 官方定义的字段
     *  Hearder头部
     *  Payload负载
     *  Signature签名
     *  Jwt
 *  JWT 用法
 *  官方调式页面
 *  参考资料

# 一句话介绍 #

使用`jwt`的本质就是`服务端`加密一组`JSON`交给用户作为`token`凭证，用户调用接口时带上`token`，服务端成功解密拿到这组`JSON`。（JSON中包含哪些信息，下文会介绍）

# 知识点 #

1.  `JWT`全称：`JSON Web Tokens`是一个开放标准([RFC 7519][])  
    `jwt`就是对怎么处理这段`信息`做出了规范。换句话说完全可以自己手动实现，甚至自己另外定义一套规范都行。但是有现成的为啥不用呢。
2.  **JWT** 默认是未加密的。除非自己加密，否则莫存敏感信息  
    (`秘钥`是用来`签名`的。`jwt`只是对`json`串进行了`Base64Url`编码而已)
3.  将`JWT`保存在`Local Storage`也要注意跨站攻击。除非自己加密，否则莫存敏感信息
4.  `JWT`无状态，利于多端调用（不再限于浏览器）。同时利用的好，能很好的减轻服务器压力。
5.  `JWT`发出后，服务端并无保存，所以默认情况下是无状态的。有效期内都可用，除非自己进行扩展。  
    (例如：将作废的`jwt`，存在`Redis`中标识为废弃，有效期同`jwt`有效期。这时候就体现出有效期短的好处了。)

# JWT 结构 #

`JWT` 分为三部分：Header.Payload.Signature 中间用英文句号`.`连接。

<table> 
 <thead> 
  <tr> 
   <th align="left">parts</th> 
   <th align="left">名称</th> 
   <th align="left">格式</th> 
   <th align="left">说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left"><font>Header</font></td> 
   <td align="left">头部</td> 
   <td align="left">json</td> 
   <td align="left">头部通常由两部分组成<code>令牌的类型</code>即JWT，以及所使用的<code>签名算法</code>，如：HMAC SHA256或RSA。</td> 
  </tr> 
  <tr> 
   <td align="left"><font>Payload</font></td> 
   <td align="left">负载(内容)</td> 
   <td align="left">json</td> 
   <td align="left">储存需要传递的一组<code>JSON</code>数据，JWT标准中称作<code>claims</code>：分三种类型<br><a href="https://tools.ietf.org/html/rfc7519#section-4.1" rel="nofollow">1. Registered claims</a>：官方定义的一些字段，建议但不强制使用。<br><a href="https://tools.ietf.org/html/rfc7519#section-4.2" rel="nofollow">2. Public claims</a>：用户自定义的公开字段。(可使用官方定义的，也可以自定义，总之避免冲突)<br><a href="https://tools.ietf.org/html/rfc7519#section-4.3" rel="nofollow">3. Private claims</a> ：JWT的生产者和消费者可以同意使用私人名称。容易冲突，自己避免。</td> 
  </tr> 
  <tr> 
   <td align="left"><font>Signature</font></td> 
   <td align="left">签名</td> 
   <td align="left">string</td> 
   <td align="left">按<code>Header</code>中标识的算法对<code>Header</code>和<code>Payload</code>进行签名。官网下拉查看<a href="https://jwt.io/#debugger-io" rel="nofollow">签名算法</a></td> 
  </tr> 
  <tr> 
   <td align="left"><font>————</font></td> 
   <td align="left"><font>—————</font></td> 
   <td align="left"></td> 
   <td align="left"></td> 
  </tr> 
 </tbody> 
</table>

## Registered claims 官方定义的字段 ##

官方定义的字段，主流的实现都会支持。大多数情况我们只需要使用一部分字段就够了。

<table> 
 <thead> 
  <tr> 
   <th>name</th> 
   <th>全称</th> 
   <th>说明</th> 
   <th>例</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>iss</td> 
   <td>issuer</td> 
   <td>Token 颁发者的唯一标识</td> 
   <td>https://jerryjin.blog.csdn.net</td> 
  </tr> 
  <tr> 
   <td>sub</td> 
   <td>subject</td> 
   <td>主题（比如：用户id 或 用户名）</td> 
   <td>9527</td> 
  </tr> 
  <tr> 
   <td>aud</td> 
   <td>audience</td> 
   <td>JWT的接收者（比如：APP的包名）</td> 
   <td>com.jerry.smartApp</td> 
  </tr> 
  <tr> 
   <td>exp</td> 
   <td>expiration time</td> 
   <td>有效期，结束时间 （比如：时间戳）</td> 
   <td>1609413701262</td> 
  </tr> 
  <tr> 
   <td>nbf</td> 
   <td>Not Before</td> 
   <td>有效期，开始时间（比如：时间戳）</td> 
   <td>1609327283741</td> 
  </tr> 
  <tr> 
   <td>iat</td> 
   <td>Issued At</td> 
   <td>签发时间（比如：时间戳）</td> 
   <td>1609327283741</td> 
  </tr> 
  <tr> 
   <td>jti</td> 
   <td>JWT ID</td> 
   <td>jwt唯一标识（比如：UUID）</td> 
   <td>a3dd5fa2-d179-4803-a09a-54fb00076f66</td> 
  </tr> 
 </tbody> 
</table>

## Hearder头部 ##

{ 
      "alg": "HS256",
      "typ": "JWT"
    }

## Payload负载 ##

{ 
      "iss": "https://jerryjin.blog.csdn.net",
      "sub": "9527",
      "aud": "com.jerry.smartApp",
      "exp": 1609413701262,
      "nbf": 1609327283741,
      "iat": 1609327283741,
      "jti": "a3dd5fa2-d179-4803-a09a-54fb00076f66",
      "userName": "jerry",
      "admin": true
    }

## Signature签名 ##

String signature = HMACSHA256(base64UrlEncode(header) + "." +  base64UrlEncode(payload),  secret);

## Jwt ##

因为`jwt`可能被放在`URL`中传输，所以使用`Base64Url`编码而非`Base64`

String jwt = base64UrlEncode(header) + "." +  base64UrlEncode(payload) + "." + base64UrlEncode(signature);

# JWT 用法 #

1.  用户登录成功后，服务器返回 `jwt` 客户端保存在本地。
2.  后续的每次请求都带上`jwt`，一般有两个地方可以放。  
    2.1. 在`cookie`中传递（这个不建议，因为有跨域限制）  
    2.2. 添加在头部：`Authorization: Bearer <token>`  
    2.3. 带在请求数据中，参数名自己定比如 `token`

# 官方调式页面 #

将生成的`jwt`放上去，成功解析出`右边`的内容  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2p4NTIw_size_16_color_FFFFFF_t_70]

# 参考资料 #

[官网 https://jwt.io][https_jwt.io]  
[官网推荐工具 `jjwt`][_jjwt]  
[官网推荐工具 `java-jwt`][_java-jwt]  
[Registered claims][]

[SpringBoot 学习笔记 【整合JWT】][SpringBoot _ _JWT]

[RFC 7519]: https://tools.ietf.org/html/rfc7519
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2p4NTIw_size_16_color_FFFFFF_t_70]: /images/20221124/32ea63adcba04472918b367473439bf1.png
[https_jwt.io]: https://jwt.io/
[_jjwt]: https://github.com/jwtk/jjwt
[_java-jwt]: https://github.com/auth0/java-jwt
[Registered claims]: https://tools.ietf.org/html/rfc7519#section-4.1
[SpringBoot _ _JWT]: https://jerryjin.blog.csdn.net/article/details/111996547