站長(zhǎng)資訊網(wǎng)JWT是目前流行的跨域認(rèn)證解決方案，其原理是將用戶信息通過加密生成Token，每次請(qǐng)求服務(wù)端只需要使用保存的密鑰驗(yàn)證Token的正確性，進(jìn)而不用再保存任何Session數(shù)據(jù)，使服務(wù)端變得無(wú)狀態(tài)。
jwt驗(yàn)證方式是將用戶信息通過加密生成token，每次請(qǐng)求服務(wù)端只需要使用保存的密鑰驗(yàn)證token的正確性，不用再保存任何session數(shù)據(jù)了，進(jìn)而服務(wù)端變得無(wú)狀態(tài)，容易實(shí)現(xiàn)拓展。
加密前的用戶信息，如：
{ "username": "vist", "role": "admin", "expire": "2018-12-08 20:20:20" }
客戶端收到的token：
7cd357af816b907f2cc9acbe9c3b4625
JWT 結(jié)構(gòu)
一個(gè)token分為3部分：
-
頭部(header)
-
載荷(payload)
-
簽名(signature)
3個(gè)部分用“.”分隔，如：
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
頭部
JWT的頭部分是一個(gè)JSON對(duì)象，描述元數(shù)據(jù)，通常是：
{ "typ": "JWT", "alg": "HS256" }
typ 為聲明類型，指定 "JWT"
alg 為加密的算法，默認(rèn)是 "HS256"
載荷
載荷(payload)是數(shù)據(jù)的載體，用來存放實(shí)際需要傳遞的數(shù)據(jù)信息，也是一個(gè)JSON對(duì)象。
JWT官方推薦字段:
-
iss: jwt簽發(fā)者
-
sub: jwt所面向的用戶
-
aud: 接收jwt的一方
-
exp: jwt的過期時(shí)間，這個(gè)過期時(shí)間必須要大于簽發(fā)時(shí)間
-
nbf: 定義在什么時(shí)間之前，該jwt都是不可用的.
-
iat: jwt的簽發(fā)時(shí)間
-
jti: jwt的唯一身份標(biāo)識(shí)，主要用來作為一次性token,從而回避重放攻擊。
也可以使用自定義字段，如：
{ "username": "vist", "role": "admin" }
簽名
簽名部分是對(duì)前兩部分(頭部，載荷)的簽名，防止數(shù)據(jù)篡改。
按下列步驟生成：
1、先指定密鑰(secret)
2、把頭部(header)和載荷(payload)信息分別base64轉(zhuǎn)換
3、使用頭部(header)指定的算法加密
最終，簽名(signature) = HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload),secret)
客戶端得到的簽名：
header.payload.signature
也可以對(duì)JWT進(jìn)行再加密。
推薦教程：《PHP》
