JWT是由什么構成的

# JWT是由什么構成的

## 引言

JSON Web Token（JWT）是一種開放標準（RFC 7519），用于在網絡應用環境間安全地傳遞聲明（claims）。它已成為現代Web開發和API身份驗證的重要工具。本文將深入探討JWT的構成，包括其三個核心部分：頭部（Header）、載荷（Payload）和簽名（Signature）。通過了解這些組成部分，開發者可以更好地理解JWT的工作原理，并在實際應用中更安全地使用它。

## 1. JWT概述

### 1.1 什么是JWT

JWT是一種緊湊的、URL安全的表示方式，用于在兩方之間傳輸信息。這些信息可以被驗證和信任，因為它們是經過數字簽名的。JWT可以使用密鑰（HMAC算法）或使用RSA或ECDSA的公鑰/私鑰對進行簽名。

### 1.2 JWT的主要用途

- **身份驗證**：用戶登錄后，服務器生成JWT并返回給客戶端，客戶端在后續請求中攜帶該JWT以證明身份。
- **信息交換**：JWT可以在各方之間安全地傳輸信息，因為簽名可以驗證發送方的身份并確保信息未被篡改。

### 1.3 JWT的優勢

- **無狀態**：服務器不需要存儲會話信息，因為JWT本身包含了所有必要的信息。
- **跨域支持**：JWT可以輕松地在不同域之間傳遞，適用于分布式系統和微服務架構。
- **安全性**：通過簽名或加密，JWT可以防止數據被篡改。

## 2. JWT的結構

JWT由三部分組成，用點（`.`）分隔：

Header.Payload.Signature

### 2.1 頭部（Header）

頭部是JWT的第一部分，通常由兩部分組成：
- **令牌類型（typ）**：通常是"JWT"。
- **簽名算法（alg）**：如HMAC SHA256（HS256）或RSA（RS256）。

#### 示例
```json
{
  "alg": "HS256",
  "typ": "JWT"
}

Base64Url編碼

頭部經過Base64Url編碼后形成JWT的第一部分。

2.2 載荷（Payload）

載荷是JWT的第二部分，包含聲明（claims）。聲明是關于實體（通常是用戶）和其他數據的語句。聲明分為三類： 1. 注冊聲明（Registered Claims）：預定義的聲明，如iss（簽發者）、exp（過期時間）、sub（主題）等。 2. 公共聲明（Public Claims）：可以自定義，但應避免與已注冊聲明沖突。 3. 私有聲明（Private Claims）：用于在同意使用它們的各方之間共享信息。

示例

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true,
  "iat": 1516239022
}

Base64Url編碼

載荷經過Base64Url編碼后形成JWT的第二部分。

2.3 簽名（Signature）

簽名是JWT的第三部分，用于驗證消息在傳輸過程中未被篡改。簽名是通過將編碼后的頭部、編碼后的載荷、一個密鑰以及頭部中指定的算法生成的。

生成方式

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

作用

• 驗證發送方的身份。
• 確保消息未被篡改。

3. JWT的編碼與解碼

3.1 Base64Url編碼

JWT使用Base64Url編碼，與標準Base64編碼的區別： - 省略末尾的填充字符（=）。 - 替換+為-，/為_。

3.2 完整的JWT示例

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

3.3 解碼JWT

可以通過在線工具或編程語言庫解碼JWT： 1. 分割JWT為三部分。 2. 分別解碼頭部和載荷。 3. 驗證簽名。

4. JWT的安全性

4.1 簽名算法

• HS256：對稱加密，使用同一個密鑰進行簽名和驗證。
• RS256：非對稱加密，使用私鑰簽名，公鑰驗證。

4.2 常見攻擊與防范

• 令牌泄露：使用HTTPS傳輸JWT，避免令牌泄露。
• 算法切換攻擊：強制指定算法，避免攻擊者修改頭部中的算法。
• 令牌過期：設置較短的過期時間（exp聲明）。

4.3 最佳實踐

• 不要在載荷中存儲敏感信息。
• 使用強密鑰并定期更換。
• 驗證簽名和過期時間。

5. JWT的實際應用

5.1 身份驗證流程

1. 用戶登錄，服務器驗證憑據。
2. 服務器生成JWT并返回給客戶端。
3. 客戶端在后續請求的Authorization頭中攜帶JWT。
4. 服務器驗證JWT并處理請求。

5.2 與其他技術的結合

• OAuth 2.0：JWT常用作OAuth 2.0的訪問令牌。
• 單點登錄（SSO）：JWT可以在多個系統間傳遞用戶身份信息。

6. JWT的局限性

• 無狀態性：無法在服務器端直接撤銷令牌。
• 載荷大小：過大的載荷會增加網絡開銷。
• 安全性依賴實現：錯誤的實現可能導致安全漏洞。

7. 總結

JWT由頭部、載荷和簽名三部分組成，是一種高效、安全的身份驗證和信息交換機制。通過理解其構成和工作原理，開發者可以更好地利用JWT構建安全的現代Web應用。然而，也需要注意其局限性和安全性問題，遵循最佳實踐以確保應用的安全。

附錄

常見問題

1. JWT和Session有什么區別？

   • JWT是無狀態的，Session是有狀態的。
   • JWT適合分布式系統，Session適合單體應用。

2. 如何選擇簽名算法？

   • 對稱加密（HS256）適合單服務器環境。
   • 非對稱加密（RS256）適合多服務器或微服務環境。

3. JWT可以加密嗎？

   • 可以，使用JWE（JSON Web Encryption）標準對JWT進行加密。

參考資料

• RFC 7519 - JSON Web Token (JWT)
• JWT.io
• OAuth 2.0 and JWT

”`

這篇文章詳細介紹了JWT的構成、編碼與解碼、安全性、實際應用及局限性，總字數約3600字。希望對您有所幫助！