首页手记 JWT解决方案学习：从入门到实践指南

JWT解决方案学习：从入门到实践指南

标签：

架构安全

概述

本文详细介绍了JWT的工作原理、组成部分及其生成与解析过程，并提供了JWT在用户认证、信息交换和API接口保护等场景中的应用示例，探讨了JWT的安全性考量和最佳实践，帮助读者全面了解JWT解决方案。

JWT基础概念介绍

什么是JWT

JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在网络应用环境中安全地传输信息。JWT主要用于身份验证和信息交换，它提供了在客户端和服务器之间传递基于用户身份的声明的安全方法。JWT使用紧凑的形式，便于在URL、POST请求参数或HTTP头中传输。

JWT的工作原理

JWT的工作流程如下：

生成JWT：客户端与服务器交互时，请求JWT。服务器验证客户端的身份后，生成一个包含用户信息的JWT。
签名JWT：服务器使用私钥对JWT进行签名，确保信息不被篡改。
传递JWT：客户端接收到JWT后，可以将JWT存储在本地（如LocalStorage或Cookie），并在后续的API请求中传递。
验证JWT：服务器收到JWT后，使用公钥验证JWT的有效性。如果验证通过，则可以信任JWT中的信息。
处理JWT：根据JWT中的信息进行相应的业务操作，如权限验证等。
更新JWT：如果需要，可以更新JWT中的某些字段，如过期时间等。

以下是生成JWT的Python代码示例：

import jwt
import datetime

# 定义密钥
secret = "my_secret_key"

# 创建载荷信息
payload = {
    'sub': '1234567890',  # 用户ID
    'name': 'John Doe',   # 用户名
    'iat': datetime.datetime.utcnow(),  # 签发时间
    'exp': datetime.datetime.utcnow() + datetime.timedelta(seconds=3600)  # 过期时间（1小时后）
}

# 加密JWT
token = jwt.encode(payload, secret, algorithm='HS256')

print(token)

JWT的组成部分

JWT由三部分组成：头部（Header）、载荷（Payload）、签名（Signature）。

头部：描述了使用的加密算法（如HMAC SHA256或RSA）。
载荷：包含用户信息、元数据（过期时间、签发时间等）。
签名：使用头部指定的加密算法和服务器的私钥，对头部和载荷的组合进行签名。

以下是构建JWT头部、载荷和签名的Python代码示例：

import jwt
import datetime
import base64

# 定义密钥
secret = "my_secret_key"

# 创建载荷信息
payload = {
    'sub': '1234567890',  # 用户ID
    'name': 'John Doe',   # 用户名
    'iat': datetime.datetime.utcnow(),  # 签发时间
    'exp': datetime.datetime.utcnow() + datetime.timedelta(seconds=3600)  # 过期时间（1小时后）
}

# 创建头部信息
header = {
    'typ': 'JWT',
    'alg': 'HS256'
}

# 将头部信息编码为Base64
encoded_header = base64.b64encode(json.dumps(header).encode('utf-8')).decode('utf-8')

# 将载荷信息编码为Base64
encoded_payload = base64.b64encode(json.dumps(payload).encode('utf-8')).decode('utf-8')

# 创建签名
signature = jwt.encode(payload, secret, algorithm='HS256')

token = f"{encoded_header}.{encoded_payload}.{signature}"
print(token)

JWT的使用场景

用户认证

JWT常用于实现用户登录和认证。用户登录成功后，服务器生成一个JWT并返回给客户端。客户端在后续的请求中携带这个JWT，服务器通过验证JWT来确认用户身份。

信息交换

JWT可以用于安全地传递信息。例如，客户端可以通过JWT传递用户的权限级别或角色信息，服务器可以根据这些信息进行相应的权限控制。

以下是使用JWT进行信息交换的示例代码：

import jwt
import datetime

# 定义密钥
secret = "my_secret_key"

# 创建载荷信息
payload = {
    'sub': '1234567890',  # 用户ID
    'roles': ['admin', 'user'],  # 用户角色
    'iat': datetime.datetime.utcnow(),  # 签发时间
    'exp': datetime.datetime.utcnow() + datetime.timedelta(seconds=3600)  # 过期时间（1小时后）
}

# 加密JWT
token = jwt.encode(payload, secret, algorithm='HS256')

print(token)

API接口保护

JWT可以用来保护API接口的安全性。客户端访问API接口时，需要携带JWT作为认证凭据。服务器通过解析JWT并验证其有效性，来决定是否允许访问API。

示例代码

以下是一个简单的API保护示例，使用Python和Flask：

from flask import Flask, request
import jwt
import datetime
import os

app = Flask(__name__)
secret = os.getenv('JWT_SECRET', 'my_secret_key')

@app.route('/protected', methods=['GET'])
def protected():
    token = request.headers.get('Authorization', None)
    if not token:
        return "Missing token", 401

    try:
        payload = jwt.decode(token, secret, algorithms=['HS256'])
        return f"Hello, {payload['name']}!"
    except jwt.ExpiredSignatureError:
        return "Token expired", 401
    except jwt.InvalidTokenError:
        return "Invalid token", 401

if __name__ == '__main__':
    app.run(debug=True)

JWT的生成与解析

生成JWT的过程

生成JWT的过程通常包括以下步骤：

定义载荷：包含用户信息、过期时间等。
签名JWT：使用密钥和加密算法对头部和载荷进行签名。

以下是生成JWT的Python代码示例：

import jwt
import datetime
import os

secret = os.getenv('JWT_SECRET', 'my_secret_key')

# 生成JWT
def generate_jwt(user_id, user_name):
    payload = {
        'sub': user_id,
        'name': user_name,
        'iat': datetime.datetime.utcnow(),
        'exp': datetime.datetime.utcnow() + datetime.timedelta(seconds=3600)
    }
    token = jwt.encode(payload, secret, algorithm='HS256')
    return token

# 示例使用
if __name__ == "__main__":
    token = generate_jwt('1234567890', 'John Doe')
    print("Generated Token:", token)

解析JWT的方法

解析JWT的方法包括：

验证签名：使用公钥验证JWT的签名。
提取载荷信息：从JWT中提取用户信息等数据。
检查过期时间：确保JWT没有过期。

以下是解析JWT的Python代码示例：

import jwt
import datetime
import os

secret = os.getenv('JWT_SECRET', 'my_secret_key')

# 解析JWT
def parse_jwt(token):
    try:
        payload = jwt.decode(token, secret, algorithms=['HS256'])
        return payload
    except jwt.ExpiredSignatureError:
        return "Token expired", 401
    except jwt.InvalidTokenError:
        return "Invalid token", 401

# 示例使用
if __name__ == "__main__":
    token = 'your_jwt_token_here'
    parsed_payload = parse_jwt(token)
    print("Parsed Payload:", parsed_payload)

JWT的安全性考量

签名的重要性

签名是JWT的核心安全机制。通过签名，可以确保JWT在传输过程中不被篡改。如果JWT被篡改，服务器通过验证会发现签名无效，从而拒绝该JWT。

令牌过期管理

令牌过期可以防止长期有效的JWT被滥用。过期时间应在载荷中明确指定。客户端在令牌过期后，需要重新获取新的JWT。

保护令牌的安全

令牌的安全性包括：

不存储在客户端：不要将JWT存储在浏览器的Local Storage中，因为它可以被浏览器插件或脚本读取。
不使用URL参数：不要将JWT通过URL参数传递，因为URL会被浏览器缓存和历史记录。
使用HTTPS：确保JWT在传输过程中使用HTTPS加密，防止被窃听。

以下是一个基于JavaScript的安全存储JWT的示例：

// 存储JWT到sessionStorage
function storeToken(token) {
    sessionStorage.setItem('jwtToken', token);
}

// 解析JWT
function parseJwt(token) {
    try {
        const base64Url = token.split('.')[1];
        const base64 = base64Url.replace(/-/g, '+').replace(/_/g, '/');
        const jsonPayload = decodeURIComponent(atob(base64).split('').map(function (c) {
            return '%' + ('00' + c.charCodeAt(0).toString(16)).slice(-2);
        }).join(''));
        return JSON.parse(jsonPayload);
    } catch (error) {
        return null;
    }
}

// 示例使用
const token = 'your_jwt_token_here';
storeToken(token);
const parsedPayload = parseJwt(token);
console.log('Parsed Payload:', parsedPayload);

实战演练：使用JWT实现用户认证

设置开发环境

为了实现JWT认证，你需要安装以下工具：

Python
Flask（Web框架）
PyJWT（JWT生成和解析库）
Requests（用于发送HTTP请求）

可以通过以下命令安装它们：

pip install flask pyjwt requests

编写JWT生成代码

以下是一个简单的JWT生成函数，使用Flask和PyJWT：

from flask import Flask, request
import jwt
import datetime
import os

app = Flask(__name__)
secret = os.getenv('JWT_SECRET', 'my_secret_key')

@app.route('/login', methods=['POST'])
def login():
    user_data = request.get_json()
    user_id = user_data.get('user_id', None)
    user_name = user_data.get('user_name', None)

    if not user_id or not user_name:
        return "Missing user_id or user_name", 400

    payload = {
        'sub': user_id,
        'name': user_name,
        'iat': datetime.datetime.utcnow(),
        'exp': datetime.datetime.utcnow() + datetime.timedelta(seconds=3600)
    }

    token = jwt.encode(payload, secret, algorithm='HS256')
    return {'token': token}, 200

if __name__ == '__main__':
    app.run(debug=True)

实现JWT验证逻辑

以下是一个简单的JWT验证函数：

@app.route('/protected', methods=['GET'])
def protected():
    token = request.headers.get('Authorization', None)
    if not token:
        return "Missing token", 401

    try:
        payload = jwt.decode(token, secret, algorithms=['HS256'])
        return f"Hello, {payload['name']}!"
    except jwt.ExpiredSignatureError:
        return "Token expired", 401
    except jwt.InvalidTokenError:
        return "Invalid token", 401

示例使用

启动服务后，可以通过以下方式测试：

curl -X POST -H "Content-Type: application/json" -d '{"user_id": "1234567890", "user_name": "John Doe"}' http://localhost:5000/login

获取到JWT后，可以在保护的API接口中使用：

curl -H "Authorization: Bearer your_jwt_token_here" http://localhost:5000/protected

常见问题与解决方案

JWT过期问题

JWT过期后，客户端需要向服务器请求新的JWT。可以通过API接口重新生成JWT，同时验证用户身份。

令牌被篡改的风险

为了防止令牌被篡改，需要确保JWT的签名有效。如果签名无效，JWT应被视为无效。

令牌存储的最佳实践

不使用LocalStorage：不要将JWT存储在浏览器的LocalStorage中，因为它可以被浏览器插件或脚本读取。
使用sessionStorage：可以将JWT存储在sessionStorage中，这样在关闭浏览器窗口时，JWT会自动清除。
使用HTTPS：确保JWT在传输过程中使用HTTPS加密，防止被窃听。

以下是一个基于JavaScript的安全存储JWT的示例：

// 存储JWT到sessionStorage
function storeToken(token) {
    sessionStorage.setItem('jwtToken', token);
}

// 解析JWT
function parseJwt(token) {
    try {
        const base64Url = token.split('.')[1];
        const base64 = base64Url.replace(/-/g, '+').replace(/_/g, '/');
        const jsonPayload = decodeURIComponent(atob(base64).split('').map(function (c) {
            return '%' + ('00' + c.charCodeAt(0).toString(16)).slice(-2);
        }).join(''));
        return JSON.parse(jsonPayload);
    } catch (error) {
        return null;
    }
}

// 示例使用
const token = 'your_jwt_token_here';
storeToken(token);
const parsedPayload = parseJwt(token);
console.log('Parsed Payload:', parsedPayload);

点击查看更多内容

为 TA 点赞

若觉得本文不错，就分享一下吧！

评论

评论

共同学习，写下你的评论

评论加载中...

展开查看更多评论

作者其他优质文章

正在加载中

萧十郎

手记
篇

粉丝

36

获赞与收藏

166

关注作者，订阅最新文章

阅读免费教程

MySQL 进阶教程

32个小节 51653 963

Java 并发原理入门教程

26个小节 39106 568

HTTP 入门教程

28个小节 37988 651

推荐

评论

收藏

共同学习，写下你的评论



感谢您的支持，我会继续努力的～

扫码打赏，你说多少就多少

赞赏金额会直接到老师账户

支付方式

打开微信扫一扫，即可进行扫码打赏哦

今天注册有机会得

100积分直接送

付费专栏免费学

大额优惠券免费领

立即参与放弃机会

点击
抽奖

慕课手记新用户专享福利

恭喜你，你的运气太好了，居然抽中了 100个积分！

恭喜你，抽中了价值元的专栏！

太棒了，直接落到你账户里！

积分商城里的罗技鼠标、机械键盘、
Kindle 阅读器、小米平衡车
Apple iPad （10.2英寸）、大额优惠券
在等着你去兑换了噢

作者：

免费赠送

兑换码：1111222211 复制

优惠券可用于购买实战课、体系课
无门槛使用

先去看看，有什么好东西马上兑换我爱学习，选课去


热搜

最近搜索清空

JWT解决方案学习：从入门到实践指南

什么是JWT

JWT的工作原理

JWT的组成部分

用户认证

信息交换

API接口保护

示例代码

生成JWT的过程

解析JWT的方法

签名的重要性

令牌过期管理

保护令牌的安全

设置开发环境

编写JWT生成代码

实现JWT验证逻辑

示例使用

JWT过期问题

令牌被篡改的风险

令牌存储的最佳实践

阅读免费教程