首页手记 JWT解决方案学习入门：从零开始的全面指南

JWT解决方案学习入门：从零开始的全面指南

标签：

云计算安全 API

概述

JWT解决方案学习入门涵盖了JSON Web Token的工作原理、生成和验证方法，以及在实际项目中的应用。文章详细介绍了JWT的结构、加密算法和应用场景，帮助读者全面理解JWT技术。通过示例代码，读者可以学习如何在不同编程语言中生成和验证JWT。JWT解决方案学习入门还涵盖了JWT在身份验证、数据传输和安全性方面的最佳实践。

JWT简介

什么是JWT

JSON Web Token (JWT) 是一种开放标准 (RFC 7519) ，用于在各方之间安全地传输信息。它是基于 JSON 标准的一种Token，使用 JSON 对象结构，便于前后端交互。JWT 的主要优势在于它能够自包含地携带有关用户或其它对象的信息，并且这些信息是经过加密和签名的，因此可以保证数据的安全性和不可篡改性。

JWT的工作原理

JWT 的工作原理可以分为以下几个步骤：

生成JWT：服务器端使用算法生成一个包含用户信息的 JWT。
验证JWT：客户端在请求时携带 JWT，服务器端验证 JWT 的有效性。
解析JWT：验证通过后，服务器端解析 JWT 中的数据。

JWT 通常由三部分组成：头部（Header）、载荷（Payload）、签名（Signature）。

JWT的优势和应用场景

优势：

无状态性：服务器不需要存储 JWT 信息，减轻了服务器的存储负担。
安全性：JWT 使用加密和签名机制，确保传输数据的安全。
跨域支持：JWT 可以轻松地在不同域之间传递，适用于前后端分离的项目。

应用场景：

用户身份验证：通过 JWT 实现用户登录和权限管理。
数据交换：前后端间交换数据时，使用 JWT 进行加密和签名。
单点登录：实现多个服务间的用户认证和授权。

JWT基础概念

Header

Header 部分包含两个字段：typ 和 alg，其中：

typ 表示 token 的类型，通常设置为 JWT。
alg 表示使用的加密算法，常见的有 HS256（HMAC SHA-256）和 RS256（RSA SHA-256）。

示例 Header：

{
  "typ": "JWT",
  "alg": "HS256"
}

Payload

Payload 部分包含声明（Claims），声明是关于实体的信息集。JWT 标准定义了三类声明：

注册声明：预定义的声明，如 iss（发行者）、exp（过期时间）、sub（主题）。
公共声明：自定义声明，没有预定义的含义。
私有声明：仅供特定客户端使用的声明。

示例 Payload：

{
  "sub": "1234567890",
  "exp": 1516239022
}

Signature

Signature 通过使用 Header 标识的加密算法对 Header 和 Payload 进行加密签名，从而验证数据的完整性和真实性。

JWT的结构和编码

JWT 的结构如下：

<Header>.<Payload>.<Signature>

每个部分使用 Base64 编码，然后连接在一起。例如：

eyJhbGciOiAiSFMyNTYifQ==.eyJzdWIiOiAiMTIzNDU2Nzg5MCJ9.eyJzaWQiOiAibG9hZGVkIn0=

Header 和 Payload 部分使用 Base64 编码，Signature 通过加密算法计算得到。

示例代码展示

以下代码展示了如何构造 JWT 的 Header 和 Payload，并生成 Signature：

const jwt = require('jsonwebtoken');

const secret = 'mySecretKey';

const header = {
  typ: 'JWT',
  alg: 'HS256'
};

const payload = {
  sub: '1234567890',
  name: 'John Doe',
  admin: true
};

const token = jwt.sign(payload, secret);

console.log(token);

如何生成JWT

使用Node.js生成JWT

在 Node.js 中，可以使用 jsonwebtoken 库生成 JWT。首先需要安装该库：

npm install jsonwebtoken

示例代码：

const jwt = require('jsonwebtoken');

const secret = 'mySecretKey';
const payload = {
  sub: '1234567890',
  name: 'John Doe',
  admin: true
};

const token = jwt.sign(payload, secret, { expiresIn: '1h' });

console.log(token);

使用Python生成JWT

在 Python 中，可以使用 jwt 库生成 JWT。首先需要安装该库：

pip install PyJWT

示例代码：

import jwt

secret = 'mySecretKey'
payload = {
    'sub': '1234567890',
    'name': 'John Doe',
    'admin': True
}

token = jwt.encode(payload, secret, algorithm='HS256')

print(token)

使用Java生成JWT

在 Java 中，可以使用 jjwt 库生成 JWT。首先需要在 pom.xml 中添加依赖：

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.9.1</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.9.1</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId> <!-- or jjwt-gson if Gson is preferred -->
    <version>0.9.1</version>
</dependency>

示例代码：

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

public class JwtExample {
    public static void main(String[] args) {
        String secret = "mySecretKey";
        String subject = "1234567890";
        boolean admin = true;

        String token = Jwts.builder()
                .setSubject(subject)
                .claim("admin", admin)
                .setExpiration(new Date(System.currentTimeMillis() + 3600000)) // 1 hour
                .signWith(SignatureAlgorithm.HS256, secret)
                .compact();

        System.out.println(token);
    }
}

生成JWT的步骤详解

生成 JWT 的主要步骤如下：

构造 Payload：定义要传输的数据（例如用户信息）。
设置 Header：定义加密算法和 token 类型。
生成 Signature：使用 Header 和 Payload 生成签名。
连接成 JWT：将 Header、Payload 和 Signature 通过点号连接成最终的 JWT 字符串。

验证JWT

验证JWT的有效性

验证 JWT 的有效性主要涉及以下几个方面：

检查过期时间：确保 JWT 未过期。
检查签名：确保 JWT 的签名有效。

示例代码（Node.js）：

const jwt = require('jsonwebtoken');

const secret = 'mySecretKey';
const token = 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c';

try {
    const decoded = jwt.verify(token, secret);
    console.log(decoded);
} catch (err) {
    console.error('Token is invalid or expired');
}

验证JWT的签名

验证签名是为了确保 JWT 数据的完整性和真实性。可以使用相同的密钥和算法来验证签名。

示例代码（Python）：

import jwt

secret = 'mySecretKey'
token = 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c'

try:
    decoded = jwt.decode(token, secret, algorithms=['HS256'])
    print(decoded)
except jwt.ExpiredSignatureError:
    print('Token has expired')
except jwt.InvalidTokenError:
    print('Token is invalid')

处理过期和无效的JWT

处理过期和无效的 JWT 主要涉及重发请求或让用户重新登录。

示例代码（Java）：

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;

public class JwtExample {
    public static void main(String[] args) {
        String token = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c";
        String secret = "mySecretKey";

        try {
            Claims claims = Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody();
            System.out.println(claims);
        } catch (io.jsonwebtoken.security.SecurityException | MalformedJwtException e) {
            System.err.println("JWT is malformed");
        } catch (ExpiredJwtException e) {
            System.err.println("JWT has expired");
        } catch (UnsupportedJwtException e) {
            System.err.println("JWT is unsupported");
        } catch (IllegalArgumentException e) {
            System.err.println("JWT claims string is empty");
        }
    }
}

实际应用案例

使用JWT进行身份验证

在用户登录时，服务器生成 JWT 并返回给客户端，客户端将 JWT 存储在本地（如 LocalStorage 或 Cookie），后续请求时携带 JWT 进行验证。

示例代码（Node.js）：

const express = require('express');
const jwt = require('jsonwebtoken');
const app = express();

const secret = 'mySecretKey';

app.post('/login', (req, res) => {
    const { username, password } = req.body;
    // 验证用户名和密码
    if (username === 'admin' && password === 'password') {
        const payload = { sub: '1234567890', username };
        const token = jwt.sign(payload, secret, { expiresIn: '1h' });
        res.json({ token });
    } else {
        res.status(401).json({ message: 'Unauthorized' });
    }
});

app.get('/protected', (req, res) => {
    const token = req.headers.authorization.split(' ')[1];
    try {
        const decoded = jwt.verify(token, secret);
        res.json({ message: 'Access granted', user: decoded.username });
    } catch (err) {
        res.status(401).json({ message: 'Unauthorized' });
    }
});

app.listen(3000, () => {
    console.log('Server running on port 3000');
});

使用JWT管理用户会话

在用户会话中，JWT 可以用来传递用户信息，从而实现无状态的会话管理。

示例代码（Python）：

from flask import Flask, request, jsonify
import jwt

app = Flask(__name__)
secret = 'mySecretKey'

@app.route('/login', methods=['POST'])
def login():
    data = request.json
    username = data.get('username')
    password = data.get('password')
    # 验证用户名和密码
    if username == 'admin' and password == 'password':
        payload = {'sub': '1234567890', 'username': username}
        token = jwt.encode(payload, secret, algorithm='HS256')
        return jsonify({'token': token})
    return jsonify({'message': 'Unauthorized'}), 401

@app.route('/protected', methods=['GET'])
def protected():
    token = request.headers.get('Authorization').split(' ')[1]
    try:
        decoded = jwt.decode(token, secret, algorithms=['HS256'])
        return jsonify({'message': 'Access granted', 'user': decoded['username']})
    except jwt.ExpiredSignatureError:
        return jsonify({'message': 'Token has expired'}), 401
    except jwt.InvalidTokenError:
        return jsonify({'message': 'Token is invalid'}), 401

if __name__ == '__main__':
    app.run(port=3000)

JWT在前后端分离项目中的应用

前后端分离项目中，前端负责路由和界面交互，后端负责数据处理和逻辑处理。JWT 可以帮助前后端实现安全的数据传输和状态管理。

示例代码（Java）：

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import org.springframework.web.bind.annotation.*;

@RestController
public class JwtController {

    private static final String secret = "mySecretKey";

    @PostMapping("/login")
    public String login(@RequestParam("username") String username, @RequestParam("password") String password) {
        if (username.equals("admin") && password.equals("password")) {
            Claims claims = Jwts.claims().setSubject(username);
            String token = Jwts.builder().setClaims(claims)
                    .setExpiration(new Date(System.currentTimeMillis() + 3600000)) // 1 hour
                    .signWith(SignatureAlgorithm.HS256, secret)
                    .compact();
            return token;
        }
        return "Unauthorized";
    }

    @GetMapping("/protected")
    public String protectedEndpoint(@RequestHeader("Authorization") String authorization) {
        String token = authorization.split(" ")[1];
        try {
            Claims claims = Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody();
            return "Access granted, user: " + claims.getSubject();
        } catch (Exception e) {
            return "Unauthorized";
        }
    }
}

JWT在移动端应用中的应用

移动端应用中，可以使用 JWT 来实现用户身份验证和数据传输的安全性。

示例代码（Android）：

import com.auth0.jwt.JWT;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.Claim;

public class JwtExample {
    public static void main(String[] args) {
        String secret = "mySecretKey";
        Algorithm algorithm = Algorithm.HMAC256(secret);

        String token = JWT.create()
                .withSubject("1234567890")
                .withClaim("username", "John Doe")
                .withExpiresAt(new Date(System.currentTimeMillis() + 3600000)) // 1 hour
                .sign(algorithm);

        System.out.println(token);

        JWT.require(algorithm)
                .build()
                .verify(token)
                .getClaim("username")
                .as(String.class);
    }
}

常见问题与解决方案

JWT的存储和安全性

存储位置

LocalStorage：适合前端存储，但不安全（可被 JavaScript 读取）。
SessionStorage：适合前端存储，仅在当前窗口内有效。
Cookie：适合跨窗口存储，可设置 HttpOnly 和 Secure 属性增强安全性。

安全性

防止 CSRF 攻击：使用 HttpOnly 和 Secure 属性设置 Cookie。
防止 XSS 攻击：避免将敏感信息存储在 LocalStorage 或 SessionStorage 中。
防止数据篡改：确保 JWT 的签名有效。

示例代码展示

使用LocalStorage存储JWT：

localStorage.setItem('token', 'your_jwt_token_here');

使用SessionStorage存储JWT：

sessionStorage.setItem('token', 'your_jwt_token_here');

使用Cookie存储JWT：

document.cookie = 'token=your_jwt_token_here; HttpOnly; Secure';

JWT的加解密技巧

加密算法

HS256：对称加密算法，适用于单点登录场景。
RS256：非对称加密算法，适用于需要公钥和私钥的应用场景。

密钥管理

密钥安全性：密钥必须保密，避免泄露。
密钥轮换：定期更换密钥，确保安全性。

示例代码展示

使用HS256生成JWT：

const jwt = require('jsonwebtoken');
const secret = 'mySecretKey';
const payload = {
sub: '1234567890',
name: 'John Doe',
admin: true
};

const token = jwt.sign(payload, secret, { expiresIn: '1h' });
console.log(token);

使用RS256生成JWT：

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

public class JwtExample {
  public static void main(String[] args) {
      String subject = "1234567890";
      boolean admin = true;

      String token = Jwts.builder()
              .setSubject(subject)
              .claim("admin", admin)
              .setExpiration(new Date(System.currentTimeMillis() + 3600000)) // 1 hour
              .signWith(SignatureAlgorithm.RS256, "your_private_key")
              .compact();

      System.out.println(token);
  }
}

JWT的错误排查与调试

常见错误

签名验证失败：检查密钥是否正确。
过期时间验证失败：检查 JWT 是否已过期。
无效的 JWT 格式：确保 JWT 格式正确。

调试技巧

打印 JWT：在开发过程中打印 JWT 以便检查格式和内容。
使用在线工具：使用在线 JWT 验证工具进行调试。

示例代码（Node.js）：

const jwt = require('jsonwebtoken');

const secret = 'mySecretKey';
const token = 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c';

try {
    const decoded = jwt.verify(token, secret);
    console.log(decoded);
} catch (err) {
    console.error('Token is invalid or expired');
    console.error(err);
}

通过以上内容，你可以全面了解 JWT 的工作原理、生成和验证 JWT 的方法，以及如何在实际应用中使用 JWT。希望这些内容能帮助你在开发中更好地理解和应用 JWT。

点击查看更多内容

为 TA 点赞

若觉得本文不错，就分享一下吧！

评论

评论

共同学习，写下你的评论

评论加载中...

展开查看更多评论

作者其他优质文章

正在加载中

斯蒂芬大帝

手记
篇

粉丝

7

获赞与收藏

21

关注作者，订阅最新文章

相关文章推荐

一个「学渣」从零开始Web前端自学之路

Angular 安全 —— 使用 JSON 网络令牌（JWT）的身份认证：完全指南

编程零基础应当如何开始学习 Python？

Java工程师学习指南（入门篇）

Java工程师学习指南（入门篇）

阅读免费教程

Java 并发原理入门教程

26个小节 38736 565

HTTP 入门教程

28个小节 37601 645

Hibernate 入门教程

29个小节 6345 93

推荐

评论

收藏

共同学习，写下你的评论



感谢您的支持，我会继续努力的～

扫码打赏，你说多少就多少

赞赏金额会直接到老师账户

支付方式

打开微信扫一扫，即可进行扫码打赏哦

今天注册有机会得

100积分直接送

付费专栏免费学

大额优惠券免费领

立即参与放弃机会

点击
抽奖

慕课手记新用户专享福利

恭喜你，你的运气太好了，居然抽中了 100个积分！

恭喜你，抽中了价值元的专栏！

太棒了，直接落到你账户里！

积分商城里的罗技鼠标、机械键盘、
Kindle 阅读器、小米平衡车
Apple iPad （10.2英寸）、大额优惠券
在等着你去兑换了噢

作者：

免费赠送

兑换码：1111222211 复制

优惠券可用于购买实战课、体系课
无门槛使用

先去看看，有什么好东西马上兑换我爱学习，选课去


热搜

最近搜索清空

JWT解决方案学习入门：从零开始的全面指南

什么是JWT

JWT的工作原理

JWT的优势和应用场景

Header

Payload

Signature

JWT的结构和编码

示例代码展示

使用Node.js生成JWT

使用Python生成JWT

使用Java生成JWT

生成JWT的步骤详解

验证JWT的有效性

验证JWT的签名

处理过期和无效的JWT

使用JWT进行身份验证

使用JWT管理用户会话

JWT在前后端分离项目中的应用

JWT在移动端应用中的应用

JWT的存储和安全性

存储位置

安全性

示例代码展示

JWT的加解密技巧

加密算法

密钥管理

示例代码展示

JWT的错误排查与调试

常见错误

调试技巧

相关文章推荐

阅读免费教程