首页手记 JWT入门指南：轻松掌握JSON Web Tokens

JWT入门指南：轻松掌握JSON Web Tokens

标签：

安全算法与数据结构 API

概述

JWT（JSON Web Tokens）是一种用于在网络应用环境之间安全地传输信息的开放标准。本文将详细介绍JWT的基本构成、工作原理、优势以及应用场景，并探讨JWT的生成、验证与解析方法。

JWT简介

什么是JWT

JSON Web Token（JWT）是一种开放标准（RFC 7519），用于在网络应用环境之间安全地传输信息。一个JWT通常由三部分组成：头部（Header）、载荷（Payload）、签名（Signature）。这三部分使用.进行分隔，形成一个紧凑的、URL安全的字符串。JWT的设计目的是用紧凑的形式在不同系统间传输数据，而不需要再进行额外的数据交换。

JWT的工作原理可以概括为以下几个步骤：

发行人（通常是服务器）生成一个JWT，包含用户身份信息。
用户将JWT发送给服务器或其他服务。
收到JWT的服务端对JWT进行验证，检查其是否有效，包括是否已被篡改。
如果JWT有效，服务端可以信任JWT中的信息，并据此对用户进行授权。

JWT的优势和应用场景包括：

安全性：JWT使用加密算法保证数据的安全传输。
无状态：服务端无需存储会话信息，减轻了服务器的存储负担。这也使得JWT非常适合用于分布式系统。
可扩展性：载荷部分允许自定义，可以携带任何自定义信息。
广泛使用：JWT被广泛应用于用户身份验证、授权、API认证等场景。

JWT的基本构成

头部（Header）

JWT的头部包含两个部分，分别是令牌的类型（即JWT）和所使用的签名算法，如HMAC SHA256或RSA。这个部分会被编码为Base64URL字符串。

载荷（Payload）

载荷包含了JWT的声明（Claims）。这些声明可以分为三类：

注册声明（Registered Claims）：如iss（发行人），exp（过期时间），iat（签发时间）等。这些声明有预定义的名称和语义。
公共声明（Public Claims）：这些声明由应用程序或第三方定义，用于携带特定信息。例如，user_id可以用来识别用户。
私有声明（Private Claims）：这些声明由应用程序定义，用于携带特定信息，但是只在应用程序内部使用。

载荷中的信息会被编码为Base64URL字符串。

签名（Signature）

签名部分用于保证数据的完整性和验证身份。它通过以下方式生成：

先将头部和载荷组合成一个字符串，然后进行Base64URL编码。
然后，使用发行人（通常是服务端）的密钥和头部指定的算法对这个字符串进行签名。
最终的签名也被编码为Base64URL字符串。

JWT的生成

生成JWT的步骤

生成一个JWT需经过以下步骤：

准备头部，通常使用HMAC SHA256算法。
准备载荷，包括必要的注册声明和自定义的公共声明。
使用头部指定的算法和密钥生成签名。
将头部、载荷和签名合并，形成最终的JWT字符串。

示例代码（Python）

import jwt
import datetime

# 定义密钥
SECRET_KEY = 'your_secret_key'

# 生成JWT
def create_jwt(user_id):
    payload = {
        'user_id': user_id,
        'exp': datetime.datetime.utcnow() + datetime.timedelta(days=30),
        'iat': datetime.datetime.utcnow()
    }
    token = jwt.encode(payload, SECRET_KEY, algorithm='HS256')
    return token

# 测试
user_id = 123
token = create_jwt(user_id)
print(f"生成的JWT: {token}")

示例代码（Java）

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

public String createJwt(int userId) {
    long now = System.currentTimeMillis();
    String jwt = Jwts.builder()
        .setIssuedAt(new Date(now))
        .setExpiration(new Date(now + 3600 * 1000))
        .setSubject(String.valueOf(userId))
        .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
        .compact();
    return jwt;
}

示例代码（JavaScript）

const jwt = require('jsonwebtoken');

function createJwt(userId) {
    const payload = {
        user_id: userId,
        exp: Math.floor(Date.now() / 1000) + (30 * 24 * 60 * 60) // 30 days
    };
    return jwt.sign(payload, SECRET_KEY, { algorithm: 'HS256' });
}

JWT的验证与解析

验证JWT的方法

验证JWT通常涉及以下几个步骤：

检查JWT是否正确格式化。
检查JWT是否已过期。
使用密钥和头部指定的算法验证签名。

解析JWT的载荷

解析JWT的载荷部分通常需要解码载荷，并检查其中的声明是否符合预期。例如，可以检查用户ID是否有效。

验证示例代码（Python）

import jwt
from flask import request

def verify_jwt():
    token = request.headers.get('Authorization')
    if not token:
        return "JWT未提供"

    try:
        payload = jwt.decode(token, SECRET_KEY, algorithms=['HS256'])
        user_id = payload.get('user_id')
        if not user_id:
            return "无效的JWT载荷"
        return f"用户ID: {user_id}"
    except jwt.ExpiredSignatureError:
        return "JWT已过期"
    except jwt.InvalidTokenError:
        return "无效的JWT"

验证示例代码（Java）

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;

public String verifyJwt(String token) {
    try {
        Claims claims = Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody();
        String user_id = claims.getSubject();
        return "用户ID: " + user_id;
    } catch (Exception e) {
        return "无效的JWT";
    }
}

验证示例代码（JavaScript）

const jwt = require('jsonwebtoken');

function verifyJwt(token) {
    try {
        const decoded = jwt.verify(token, SECRET_KEY, { algorithms: ['HS256'] });
        const user_id = decoded.user_id;
        return `用户ID: ${user_id}`;
    } catch (error) {
        return '无效的JWT';
    }
}

常见问题与解决方案

JWT安全性问题

密钥泄露：如果密钥泄露，攻击者可能伪造JWT。
中间人攻击：攻击者可能在传输过程中篡改JWT。
安全性处理：使用HTTPS协议保护传输安全；定期更换密钥；使用强加密算法。

JWT过期处理

过期时间：载荷中的exp字段指定JWT的过期时间。
过期检查：验证JWT时需要检查是否过期。
刷新策略：提供一个刷新机制，让用户在JWT过期前获取新的JWT。

JWT的存储方式

浏览器存储：可通过localStorage、sessionStorage存储，但需注意安全性。
Cookie：设置HttpOnly和Secure标志，增加安全性。
LocalStorage：方便前端存储，但容易被XSS攻击。

实战演练

创建一个简单的JWT认证系统

我们将使用Python的Flask框架来实现一个简单的JWT认证系统。

示例代码（Python）

from flask import Flask, request, jsonify
import jwt
import datetime

app = Flask(__name__)
SECRET_KEY = 'your_secret_key'

@app.route('/login', methods=['POST'])
def login():
    user_id = request.json.get('user_id')
    if user_id:
        token = create_jwt(user_id)
        return jsonify({'token': token})
    return jsonify({'error': '无效的用户ID'}), 400

def create_jwt(user_id):
    payload = {
        'user_id': user_id,
        'exp': datetime.datetime.utcnow() + datetime.timedelta(days=30),
        'iat': datetime.datetime.utcnow()
    }
    token = jwt.encode(payload, SECRET_KEY, algorithm='HS256')
    return token

@app.route('/protected', methods=['GET'])
def protected():
    token = request.headers.get('Authorization')
    if not token:
        return jsonify({'error': 'JWT未提供'}), 401

    try:
        payload = jwt.decode(token, SECRET_KEY, algorithms=['HS256'])
        user_id = payload.get('user_id')
        return jsonify({'user_id': user_id})
    except jwt.ExpiredSignatureError:
        return jsonify({'error': 'JWT已过期'}), 401
    except jwt.InvalidTokenError:
        return jsonify({'error': '无效的JWT'}), 401

if __name__ == '__main__':
    app.run(debug=True)

示例代码（Java）

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.util.Date;

public class JwtExample {

    public static void main(String[] args) {
        // 创建JWT
        String jwt = createJwt(123);
        System.out.println("生成的JWT: " + jwt);

        // 验证JWT
        String result = verifyJwt(jwt);
        System.out.println(result);
    }

    public static String createJwt(int userId) {
        long now = System.currentTimeMillis();
        String jwt = Jwts.builder()
            .setIssuedAt(new Date(now))
            .setExpiration(new Date(now + 3600 * 1000))
            .setSubject(String.valueOf(userId))
            .signWith(SignatureAlgorithm.HS256, "your_secret_key")
            .compact();
        return jwt;
    }

    public static String verifyJwt(String token) {
        try {
            Claims claims = Jwts.parser().setSigningKey("your_secret_key").parseClaimsJws(token).getBody();
            String user_id = claims.getSubject();
            return "用户ID: " + user_id;
        } catch (Exception e) {
            return "无效的JWT";
        }
    }
}

示例代码（JavaScript）

const jwt = require('jsonwebtoken');

function createJwt(userId) {
    const payload = {
        user_id: userId,
        exp: Math.floor(Date.now() / 1000) + (30 * 24 * 60 * 60) // 30 days
    };
    return jwt.sign(payload, 'your_secret_key', { algorithm: 'HS256' });
}

function verifyJwt(token) {
    try {
        const decoded = jwt.verify(token, 'your_secret_key', { algorithms: ['HS256'] });
        const user_id = decoded.user_id;
        return `用户ID: ${user_id}`;
    } catch (error) {
        return '无效的JWT';
    }
}

// 测试
const userId = 123;
const jwt = createJwt(userId);
console.log('生成的JWT: ', jwt);

const result = verifyJwt(jwt);
console.log(result);

使用JWT实现用户登录功能

在上述示例中，/login路由用于用户登录，返回一个JWT。用户通过发送带有JWT的请求访问/protected路由，以验证并获取用户信息。

测试JWT的使用

启动应用。
调用/login接口，获取JWT。
使用获取的JWT调用/protected接口，验证JWT的有效性。

通过以上步骤，可以验证JWT是否按预期工作。

点击查看更多内容

为 TA 点赞

若觉得本文不错，就分享一下吧！

评论

评论

共同学习，写下你的评论

评论加载中...

展开查看更多评论

作者其他优质文章

正在加载中

收到一只叮咚

手记
篇

粉丝

22

获赞与收藏

112

关注作者，订阅最新文章

阅读免费教程

Java 并发原理入门教程

26个小节 38992 568

HTTP 入门教程

28个小节 37835 650

Hibernate 入门教程

29个小节 6370 94

推荐

评论

收藏

共同学习，写下你的评论



感谢您的支持，我会继续努力的～

扫码打赏，你说多少就多少

赞赏金额会直接到老师账户

支付方式

打开微信扫一扫，即可进行扫码打赏哦

今天注册有机会得

100积分直接送

付费专栏免费学

大额优惠券免费领

立即参与放弃机会

点击
抽奖

慕课手记新用户专享福利

恭喜你，你的运气太好了，居然抽中了 100个积分！

恭喜你，抽中了价值元的专栏！

太棒了，直接落到你账户里！

积分商城里的罗技鼠标、机械键盘、
Kindle 阅读器、小米平衡车
Apple iPad （10.2英寸）、大额优惠券
在等着你去兑换了噢

作者：

免费赠送

兑换码：1111222211 复制

优惠券可用于购买实战课、体系课
无门槛使用

先去看看，有什么好东西马上兑换我爱学习，选课去


热搜

最近搜索清空

JWT入门指南：轻松掌握JSON Web Tokens

什么是JWT

头部（Header）

载荷（Payload）

签名（Signature）

生成JWT的步骤

示例代码（Python）

示例代码（Java）

示例代码（JavaScript）

验证JWT的方法

解析JWT的载荷

验证示例代码（Python）

验证示例代码（Java）

验证示例代码（JavaScript）

JWT安全性问题

JWT过期处理

JWT的存储方式

创建一个简单的JWT认证系统

示例代码（Python）

示例代码（Java）

示例代码（JavaScript）

使用JWT实现用户登录功能

测试JWT的使用

阅读免费教程