JWT 教程

JWT，即 JSON Web Token，定义了一种紧凑的、自包含的方式，用于在网络应用环境间以 JSON 对象安全地传输信息。

JWT 是一个开放的行业标准 RFC 7519。JWT 传输的信息可以被验证和信任，因为它经过了数字签名。

JWT 一般被用来在身份提供者和服务提供者间传递被认证用户的身份信息，以便于从资源服务器获取资源，也可以增加一些额外的业务逻辑所需的声明信息。

JWT 常用于代替 Session，用于识别用户身份。传统上使用 Session 机制区别用户身份有两个缺点：一是占用服务器的存储资源，二是在集群部署下设计会非常复杂。JWT 完全可以解决 Session 方案存在的问题。

1. JWT 的使用场景

什么时候应该使用 JWT 呢？

下列是使用 JSON Web Token 的主要场景：

• 认证授权 (Authorization) :
  这是使用 JWT 的最常见场景。一旦用户登录，后续每个请求都将包含 JWT，允许用户访问该 Token 允许的路由、服务和资源。单点登录是现在广泛使用的 JWT 的一个特性，因为它的开销很小，而且可以轻松地跨域使用。
• 信息交换 (Information Exchange) :
  对于安全的在各方之间传输信息而言，JSON Web Token 无疑是一种很好的方式。因为 JWT 可以被签名，例如，用公钥/私钥对，你可以确定发送人就是它们所说的那个人。另外，由于签名是使用头和有效负载计算的，您还可以验证内容没有被篡改。

2. JWT 优点

• 跨语言：支持主流语言。
• 自包含：包含必要的所有信息，如用户信息和签名等。
• 易传递：很方便通过 HTTP 头部传递。

JWT 默认是不加密，但也是可以加密的。生成原始 Token 以后，可以用密钥再加密一次。JWT 不加密的情况下，不能将秘密数据写入 JWT。

JWT 不仅可以用于认证，也可以用于交换信息。有效使用 JWT，可以降低服务器查询数据库的次数。

3. JWT 缺点

• 由于服务器不保存 session 状态，因此 JWT 无法在使用过程中废止某个 token，或更改 token 的权限。一旦 JWT 签发，在到期之前就会始终有效，除非服务器部署额外的逻辑。
• JWT 本身包含认证信息，一旦泄露，任何人都可以获得该令牌的所有权限。为了减少盗用，JWT 的有效期应该设置得比较短。对于一些比较重要的权限，使用时应该再次对用户进行认证。
• 为减少盗用，JWT 不应该使用 HTTP 协议明码传输，要使用 HTTPS 协议传输。

由于 HTTP 协议是无状态协议，所以 HTTP 协议本身是无法区别身份的。传统上，一般通过 Session 配合 Cookie 机制解决身份识别问题。但是在高并发、高流量的服务集群化时，Session 机 ...