首页手记 JWT入门教程：从零开始理解与实现

JWT入门教程：从零开始理解与实现

标签：

安全 API

JWT（JSON Web Token）是一种在Web应用中常用的开放标准（RFC 7519），用于在各方之间安全地传递声明。JWT的核心优势在于其简单性、紧凑性和普遍性，使其成为现代Web开发中不可或缺的组件。本文将详细介绍JWT的生成、验证和使用场景，并探讨JWT的安全性和与其他认证机制的区别。

JWT简介

JWT是一种开放标准，用于在网络环境中安全地传输信息。JWT包含以下三个主要部分：Header（头部）、Payload（载荷）和Signature（签名）。

什么是JWT

JWT是一种用于在网络中安全传输信息的开放标准。它由三部分组成：Header、Payload和Signature。Header部分包含令牌的类型（例如JWT）和使用的加密算法（例如HMAC SHA256或RSA）。Payload部分包含声明（claims），即关于用户、权限等信息。Signature部分则是通过Header指定的算法和Secret生成的签名，用于验证令牌的完整性和真实性。

JWT的组成部分

JWT由三部分组成：Header、Payload和Signature。这三部分通过“.”连接形成一个字符串。Header通常是一个JSON对象，包含令牌类型（如JWT）和加密算法（如HMAC SHA256）。Payload则包含声明，即关于用户的信息、权限等。Signature是通过将Header和Payload编码后，使用Secret和Header中指定的算法生成的。

JWT的优缺点

优点：
- 轻量级
- 简单且易于实现
- 可自定义载荷中的信息
- 可以传输敏感信息（加密签名）
- 无状态设计（减少服务器负担）
缺点：
- 签名计算成本较高
- 令牌长度较长
- 依赖客户端安全性（传递令牌时要注意安全性）
- 令牌过期后需处理

JWT的工作原理

JWT的工作原理涉及令牌的生成、携带和验证三个主要步骤。理解这些步骤有助于更好地利用JWT。

JWT的生成过程

JWT的生成过程主要包括以下步骤：

Header (头部)：定义令牌的类型和使用的加密算法。
Payload (载荷)：包含声明，如用户ID、权限等。
Signature (签名)：通过Header指定的算法和Secret生成的签名，确保令牌的安全性。

以下是一个使用Node.js实现的生成JWT的基本示例：

const jwt = require('jsonwebtoken');

const token = jwt.sign(
    {
        id: 1,
        username: 'admin'
    },
    'secret',
    {
        expiresIn: '1h'
    }
);

console.log(token);

在这个例子中，jwt.sign函数用于生成JWT。第一个参数是载荷，包含用户ID和用户名。第二个参数是密钥，用于生成签名。第三个参数是配置对象，可以设置过期时间等选项。

JWT的携带方式

JWT可以通过多种方式在客户端和服务器之间传递。常见的携带方式包括：

Cookie：将JWT存储在HTTP Cookie中，每次请求时自动发送。
HTTP Header：作为Authorization头部的一部分发送。
URL参数：在URL中作为参数传递。
LocalStorage/SessionStorage：在客户端存储并手动发送。

以下是一个使用HTTP Header携带JWT的示例：

POST /login HTTP/1.1
Content-Type: application/json
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw1

JWT的验证过程

JWT的验证过程包括解析JWT、验证签名和检查载荷中的声明。验证过程确保JWT的完整性和安全性。

以下是一个使用Node.js验证JWT的示例：

const jwt = require('jsonwebtoken');

// 解析JWT
const token = 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw1';

try {
    const decoded = jwt.verify(token, 'secret');
    console.log(decoded);
} catch (error) {
    console.error(error.message);
}

在这个例子中，jwt.verify函数用于验证JWT。第一个参数是JWT本身，第二个参数是用于生成签名的密钥。如果验证失败，会抛出错误。

JWT的组成部分详解

JWT的组成部分包括Header、Payload和Signature。理解这些部分有助于更好地使用JWT。

Header

Header包含令牌的类型和使用的加密算法。Header通常是一个JSON对象，其中包含两个属性：typ和alg。

typ：令牌类型，通常为JWT。
alg：使用的加密算法，例如HS256。

示例Header如下：

{
  "typ": "JWT",
  "alg": "HS256"
}

Payload

Payload包含声明，即关于用户的信息、权限等。Payload是一个JSON对象，包含一组声明（claims）。

标准声明（Standard Claims）：
- iss：发行者。
- sub：主体（指该令牌的用户）。
- aud：受众（接收令牌的第三方）。
- exp：过期时间（以Unix时间戳表示）。
- nbf：不建议使用时间（以Unix时间戳表示）。
- iat：发行时间（以Unix时间戳表示）。
- jti：JWT ID（用于区分令牌）。
自定义声明（Custom Claims）：可以添加自定义声明，以便在应用程序中传递其他信息。

示例Payload如下：

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true,
  "exp": 1623456789
}

Signature

Signature是通过Header指定的算法和Secret生成的。Signature的目的是确保令牌的完整性和真实性。

生成Signature的步骤如下：

将Header和Payload编码为Base64 URL安全字符串。
拼接编码后的Header和Payload。
使用Header指定的加密算法和Secret生成签名。

示例Signature生成代码如下：

const jwt = require('jsonwebtoken');
const header = JSON.stringify({ typ: 'JWT', alg: 'HS256' });
const payload = JSON.stringify({ sub: '1234567890', name: 'John Doe', admin: true, exp: 1623456789 });
const secret = 'secret';

const encodedHeader = Buffer.from(header, 'utf8').toString('base64url');
const encodedPayload = Buffer.from(payload, 'utf8').toString('base64url');
const signature = jwt.sign({ header: encodedHeader, payload: encodedPayload }, secret);

console.log(signature);

JWT的使用场景

JWT在多种场景中十分有用，包括用户认证、信息交换和API安全。

用户认证

JWT常用于用户认证，确保用户身份的有效性。

示例代码如下：

const jwt = require('jsonwebtoken');
const secret = 'secret';

function generateToken(user) {
    return jwt.sign(user, secret, { expiresIn: '1h' });
}

function authenticateToken(token) {
    try {
        const decoded = jwt.verify(token, secret);
        console.log('Authenticated:', decoded);
        return decoded;
    } catch (error) {
        console.error('Authentication failed:', error.message);
        return null;
    }
}

const token = generateToken({ id: 1, username: 'admin' });
console.log('Generated Token:', token);

const decoded = authenticateToken(token);

信息交换

JWT可以用于在不同的服务之间安全交换信息。

示例代码如下：

const jwt = require('jsonwebtoken');
const secret = 'secret';

const user = { id: 1, username: 'admin' };
const token = jwt.sign(user, secret, { expiresIn: '1h' });

console.log('Token:', token);

const decoded = jwt.decode(token);
console.log('Decoded Token:', decoded);

API安全

JWT可以用于保护API，确保只有授权的用户才能访问资源。

示例代码如下：

const jwt = require('jsonwebtoken');
const secret = 'secret';

function authenticate(req, res, next) {
    const token = req.headers.authorization?.split(' ')[1];
    if (!token) {
        return res.status(401).json({ error: 'Unauthorized' });
    }

    try {
        const decoded = jwt.verify(token, secret);
        req.user = decoded;
        next();
    } catch (error) {
        res.status(401).json({ error: 'Invalid token' });
    }
}

function protectedRoute(req, res) {
    res.json({ message: 'This is a protected route', user: req.user });
}

// Middleware setup
const express = require('express');
const app = express();
app.use(express.json());
app.use(authenticate);

app.get('/api/protected', protectedRoute);

app.listen(3000, () => console.log('Server started on port 3000'));

如何使用JWT

使用JWT涉及选择合适的库、生成JWT和验证JWT。选择合适的库、生成JWT和验证JWT是使用JWT的关键步骤。

选择合适的库

选择合适的库是使用JWT的第一步。常用的库包括：

Node.js：jsonwebtoken。
Java：jjwt。
Python：PyJWT。
Go：jwt-go。

示例代码如下：

const jwt = require('jsonwebtoken');

// 生成JWT
const token = jwt.sign(
    {
        id: 1,
        username: 'admin'
    },
    'secret',
    {
        expiresIn: '1h'
    }
);

console.log('Generated Token:', token);

// 验证JWT
try {
    const decoded = jwt.verify(token, 'secret');
    console.log('Decoded Token:', decoded);
} catch (error) {
    console.error('Verification failed:', error.message);
}

生成JWT

生成JWT涉及创建Header、Payload并计算Signature。常见的生成JWT的库提供了简单的方法来生成JWT。

示例代码如下：

const jwt = require('jsonwebtoken');

const token = jwt.sign(
    {
        id: 1,
        username: 'admin'
    },
    'secret',
    {
        expiresIn: '1h'
    }
);

console.log('Generated Token:', token);

验证JWT

验证JWT涉及解析令牌、验证Signature并检查Payload中的声明。验证JWT通常使用库提供的方法。

示例代码如下：

const jwt = require('jsonwebtoken');

try {
    const decoded = jwt.verify(
        'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw1',
        'secret'
    );
    console.log('Decoded Token:', decoded);
} catch (error) {
    console.error('Verification failed:', error.message);
}

常见问题及解决方案

在使用JWT时，可能会遇到一些常见问题，如JWT过期处理、JWT的安全隐患及防范、JWT与Session的区别。

JWT过期处理

JWT过期是一个常见问题，需要及时处理。解决JWT过期的方法包括：

刷新JWT：使用Refresh Token机制，客户端在JWT过期时使用Refresh Token请求新的JWT。
短期有效期：为JWT设置较短的有效期，确保安全性。
自动刷新：在客户端实现自动刷新逻辑，确保JWT长期有效。

示例代码如下：

const jwt = require('jsonwebtoken');
const refreshSecret = 'refreshSecret';

function generateRefreshToken(user) {
    return jwt.sign(user, refreshSecret, { expiresIn: '1d' });
}

function refreshAccessToken(refreshToken) {
    try {
        const decoded = jwt.verify(refreshToken, refreshSecret);
        return jwt.sign(decoded, 'secret', { expiresIn: '1h' });
    } catch (error) {
        return null;
    }
}

const refreshToken = generateRefreshToken({ id: 1, username: 'admin' });
console.log('Generated Refresh Token:', refreshToken);

const newAccessToken = refreshAccessToken(refreshToken);
console.log('Refreshed Access Token:', newAccessToken);

JWT的安全隐患及防范

JWT的安全隐患主要包括密钥泄漏、令牌窃取、篡改等。防范措施包括：

使用强密钥：确保使用的密钥足够复杂和安全。
HTTPS传输：通过HTTPS传输令牌，确保令牌在传输过程中不被窃取。
令牌签发和验证：确保令牌的签发和验证过程安全，避免密钥泄露。

示例代码如下：

const jwt = require('jsonwebtoken');
const secret = 'secret';

function generateToken(user) {
    return jwt.sign(user, secret, { expiresIn: '1h' });
}

function authenticateToken(token) {
    try {
        const decoded = jwt.verify(token, secret);
        console.log('Authenticated:', decoded);
        return decoded;
    } catch (error) {
        console.error('Authentication failed:', error.message);
        return null;
    }
}

const token = generateToken({ id: 1, username: 'admin' });
console.log('Generated Token:', token);

const decoded = authenticateToken(token);

JWT与Session的区别

JWT与Session的主要区别在于存储方式和无状态性。

存储方式：Session通常存储在服务器端，而JWT存储在客户端。
无状态性：JWT是无状态的，服务器无需保存任何状态，而Session需要服务器保存状态。
安全性：JWT的安全性依赖于密钥的安全性，而Session的安全性依赖于Session管理的安全性。

示例代码如下：


// Session示例
const express = require('express');
const session = require('express-session');

const app = express();
app.use(session({
    secret: 'secret',
    resave: false,
    saveUninitialized: true
}));

app.get('/login', (req, res) => {
    req.session.user = { id: 1, username: 'admin' };
    res.send('Login successful');
});

app.get('/protected', (req, res) => {
    if (req.session.user) {
        res.json({ message: 'This is a protected route', user: req.session.user });
    } else {
        res.status(401).json({ message: 'Unauthorized' });
    }
});

app.listen(3000, () => console.log('Server started on port 3000'));
``

综上所述，JWT是一种在网络环境中安全传输信息的强大工具。通过理解和实践JWT的生成、验证和使用，可以更好地利用JWT在现代Web开发中的优势。

点击查看更多内容

为 TA 点赞

若觉得本文不错，就分享一下吧！

评论

评论

共同学习，写下你的评论

评论加载中...

展开查看更多评论

作者其他优质文章

正在加载中

翻过高山走不出你

手记
篇

粉丝

31

获赞与收藏

67

关注作者，订阅最新文章

阅读免费教程

Java 并发原理入门教程

26个小节 38860 566

HTTP 入门教程

28个小节 37784 648

Hibernate 入门教程

29个小节 6360 93

推荐

评论

收藏

共同学习，写下你的评论



感谢您的支持，我会继续努力的～

扫码打赏，你说多少就多少

赞赏金额会直接到老师账户

支付方式

打开微信扫一扫，即可进行扫码打赏哦

今天注册有机会得

100积分直接送

付费专栏免费学

大额优惠券免费领

立即参与放弃机会

点击
抽奖

慕课手记新用户专享福利

恭喜你，你的运气太好了，居然抽中了 100个积分！

恭喜你，抽中了价值元的专栏！

太棒了，直接落到你账户里！

积分商城里的罗技鼠标、机械键盘、
Kindle 阅读器、小米平衡车
Apple iPad （10.2英寸）、大额优惠券
在等着你去兑换了噢

作者：

免费赠送

兑换码：1111222211 复制

优惠券可用于购买实战课、体系课
无门槛使用

先去看看，有什么好东西马上兑换我爱学习，选课去


热搜

最近搜索清空

JWT入门教程：从零开始理解与实现

什么是JWT

JWT的组成部分

JWT的优缺点

JWT的生成过程

JWT的携带方式

JWT的验证过程

Header

Payload

Signature

用户认证

信息交换

API安全

选择合适的库

生成JWT

验证JWT

JWT过期处理

JWT的安全隐患及防范

JWT与Session的区别

阅读免费教程