JWT（JSON Web Token）详解

Ne0inhk

— 8 min read

JWT（JSON Web Token）详解

目录

  1. 什么是JWT
  2. JWT的结构
  3. JWT的工作原理
  4. JWT的优势与劣势
  5. JWT的使用场景
  6. JWT的安全考虑
  7. 实际代码示例
  8. 最佳实践
  9. 常见问题与解决方案

什么是JWT

JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在各方之间安全地传输信息。JWT是一个紧凑的、URL安全的令牌，通常用于身份验证和信息交换。

核心特点

  • 自包含：JWT包含所有必要的信息，无需在服务器端存储会话信息
  • 无状态：服务器不需要存储用户状态，适合分布式系统
  • 跨域友好：可以在不同域名之间传递
  • 标准化：基于RFC 7519标准，有良好的生态系统支持

JWT的结构

JWT由三部分组成，用点（.）分隔：

Header.Payload.Signature

1. Header（头部）

包含令牌类型和签名算法信息：

{"alg":"HS256","typ":"JWT"}
  • alg：签名算法（如HS256、RS256等）
  • typ：令牌类型，通常为"JWT"

2. Payload（载荷）

包含声明（claims），有三种类型：

标准声明（Registered Claims）
  • iss（issuer）：签发者
  • sub（subject）：主题
  • aud（audience）：受众
  • exp（expiration time）：过期时间
  • nbf（not before）：生效时间
  • iat（issued at）：签发时间
  • jti（JWT ID）：JWT唯一标识
公共声明（Public Claims）

可以自定义，但需要避免冲突

私有声明（Private Claims）

自定义的声明，用于在同意使用它们的各方之间共享信息

示例Payload：

{"sub":"1234567890","name":"John Doe","iat":1516239022,"exp":1516242622,"role":"admin"}

3. Signature（签名）

用于验证令牌的完整性和真实性：

HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret )

JWT的工作原理

认证流程

  1. 用户登录：用户提供凭据（用户名/密码）
  2. 验证凭据：服务器验证用户身份
  3. 生成JWT：服务器生成包含用户信息的JWT
  4. 返回令牌：将JWT返回给客户端
  5. 存储令牌：客户端存储JWT（通常存储在localStorage或cookie中）
  6. 发送请求：客户端在后续请求中携带JWT
  7. 验证令牌：服务器验证JWT的有效性
  8. 返回资源：验证通过后返回请求的资源

流程图

客户端 服务器 | | |-- 1. 登录请求 --------->| | |-- 2. 验证凭据 | |-- 3. 生成JWT |<-- 4. 返回JWT ---------| | | |-- 5. 携带JWT请求 ------>| | |-- 6. 验证JWT |<-- 7. 返回资源 ---------|

JWT的优势与劣势

优势

  1. 无状态：服务器不需要存储会话信息
  2. 可扩展：适合微服务和分布式架构
  3. 跨域支持：可以在不同域名间使用
  4. 自包含：包含所有必要信息
  5. 标准化：基于开放标准，有良好的工具支持

劣势

  1. 令牌大小：比session ID大
  2. 无法撤销：在过期前无法主动失效
  3. 安全风险：如果密钥泄露，所有令牌都可能被伪造
  4. 性能考虑：每次请求都需要验证签名

JWT的使用场景

1. 身份验证

最常见的用途，用于替代传统的session-based认证

2. 信息交换

在各方之间安全地传输信息

3. 单点登录（SSO）

在多个应用间共享用户身份

4. API认证

为RESTful API提供无状态认证

5. 移动应用

适合移动应用的认证需求

JWT的安全考虑

1. 密钥管理

  • 使用强密钥
  • 定期轮换密钥
  • 安全存储密钥

2. 传输安全

  • 始终使用HTTPS
  • 避免在URL中传递JWT

3. 存储安全

  • 避免存储在localStorage（XSS风险）
  • 考虑使用httpOnly cookie
  • 实现CSRF保护

4. 令牌过期

  • 设置合理的过期时间
  • 实现刷新令牌机制

5. 算法选择

  • 使用强加密算法（如RS256）
  • 避免使用none算法

实际代码示例

Node.js示例

安装依赖
npminstall jsonwebtoken
生成JWT
const jwt =require('jsonwebtoken');// 密钥（生产环境中应使用环境变量）const secretKey ='your-secret-key';// 用户信息const user ={ id:1, username:'john_doe', role:'admin'};// 生成JWTconst token = jwt.sign({ sub: user.id, username: user.username, role: user.role }, secretKey,{ expiresIn:'1h',// 1小时过期 issuer:'your-app', audience:'your-users'}); console.log('Generated JWT:', token);
验证JWT
const jwt =require('jsonwebtoken');// 验证JWT中间件constauthenticateToken=(req, res, next)=>{const authHeader = req.headers['authorization'];const token = authHeader && authHeader.split(' ')[1];// Bearer TOKENif(!token){return res.status(401).json({ error:'Access token required'});} jwt.verify(token, secretKey,(err, decoded)=>{if(err){return res.status(403).json({ error:'Invalid token'});} req.user = decoded;next();});};// 使用示例 app.get('/protected', authenticateToken,(req, res)=>{ res.json({ message:'This is a protected route', user: req.user });});
刷新令牌实现
const refreshTokens =newSet();// 生产环境中应使用数据库// 生成访问令牌和刷新令牌constgenerateTokens=(user)=>{const accessToken = jwt.sign({ sub: user.id, username: user.username }, secretKey,{ expiresIn:'15m'});const refreshToken = jwt.sign({ sub: user.id, type:'refresh'}, secretKey,{ expiresIn:'7d'}); refreshTokens.add(refreshToken);return{ accessToken, refreshToken };};// 刷新令牌端点 app.post('/refresh',(req, res)=>{const{ refreshToken }= req.body;if(!refreshToken ||!refreshTokens.has(refreshToken)){return res.status(403).json({ error:'Invalid refresh token'});}try{const decoded = jwt.verify(refreshToken, secretKey);if(decoded.type !=='refresh'){return res.status(403).json({ error:'Invalid token type'});}// 生成新的访问令牌const newAccessToken = jwt.sign({ sub: decoded.sub }, secretKey,{ expiresIn:'15m'}); res.json({ accessToken: newAccessToken });}catch(error){ res.status(403).json({ error:'Invalid refresh token'});}});

Python示例

安装依赖
pip install PyJWT
生成和验证JWT
import jwt import datetime from functools import wraps # 密钥 SECRET_KEY ='your-secret-key'defgenerate_token(user_id, username, role):"""生成JWT令牌""" payload ={'sub': user_id,'username': username,'role': role,'iat': datetime.datetime.utcnow(),'exp': datetime.datetime.utcnow()+ datetime.timedelta(hours=1)} token = jwt.encode(payload, SECRET_KEY, algorithm='HS256')return token defverify_token(token):"""验证JWT令牌"""try: payload = jwt.decode(token, SECRET_KEY, algorithms=['HS256'])return payload except jwt.ExpiredSignatureError:raise Exception('Token has expired')except jwt.InvalidTokenError:raise Exception('Invalid token')deftoken_required(f):"""装饰器：需要JWT令牌"""@wraps(f)defdecorated(*args,**kwargs): token =Noneif'Authorization'in request.headers: auth_header = request.headers['Authorization']try: token = auth_header.split(" ")[1]# Bearer TOKENexcept IndexError:return{'message':'Token format invalid'},401ifnot token:return{'message':'Token is missing'},401try: data = verify_token(token) current_user = data except Exception as e:return{'message':str(e)},401return f(current_user,*args,**kwargs)return decorated # 使用示例@app.route('/protected')@token_requireddefprotected(current_user):return{'message':'This is a protected route','user': current_user }

前端JavaScript示例

存储和发送JWT
// 存储JWT localStorage.setItem('accessToken', token);// 发送请求时携带JWTconstapiCall=async(url, options ={})=>{const token = localStorage.getItem('accessToken');const config ={...options, headers:{'Content-Type':'application/json','Authorization':`Bearer ${token}`,...options.headers }};try{const response =awaitfetch(url, config);if(response.status ===401){// 令牌过期，尝试刷新awaitrefreshToken();// 重新发送请求returnfetch(url, config);}return response;}catch(error){ console.error('API call failed:', error);throw error;}};// 刷新令牌constrefreshToken=async()=>{const refreshToken = localStorage.getItem('refreshToken');try{const response =awaitfetch('/api/refresh',{ method:'POST', headers:{'Content-Type':'application/json'}, body:JSON.stringify({ refreshToken })});if(response.ok){const{ accessToken }=await response.json(); localStorage.setItem('accessToken', accessToken);}else{// 刷新失败，重定向到登录页 window.location.href ='/login';}}catch(error){ console.error('Token refresh failed:', error); window.location.href ='/login';}};

最佳实践

1. 安全最佳实践

  • 使用强密钥（至少256位）
  • 设置合理的过期时间
  • 使用HTTPS传输
  • 实现令牌刷新机制
  • 避免在URL中传递敏感令牌

2. 性能优化

  • 缓存公钥（使用RS256时）
  • 使用适当的过期时间
  • 考虑令牌大小对性能的影响

3. 错误处理

  • 提供清晰的错误信息
  • 实现优雅的令牌过期处理
  • 记录安全相关事件

4. 监控和日志

  • 监控令牌使用情况
  • 记录异常访问模式
  • 实现安全审计

常见问题与解决方案

1. 令牌过期处理

问题：用户在使用过程中令牌过期
解决方案：

  • 实现自动刷新机制
  • 提供友好的重新登录提示
  • 使用较长的刷新令牌

2. 跨域问题

问题：CORS策略阻止JWT传输
解决方案：

  • 配置正确的CORS策略
  • 使用withCredentials选项
  • 考虑使用cookie存储

3. 令牌撤销

问题：无法主动撤销JWT
解决方案：

  • 维护令牌黑名单
  • 使用短期令牌
  • 实现服务器端会话管理

4. 安全存储

问题：客户端存储JWT的安全风险
解决方案：

  • 使用httpOnly cookie
  • 实现CSRF保护
  • 考虑使用内存存储

5. 性能问题

问题：大量请求导致验证性能问题
解决方案：

  • 使用RS256算法（公钥验证）
  • 实现令牌缓存
  • 优化验证逻辑

总结

JWT是一种强大的身份验证和信息交换标准，特别适合现代Web应用和微服务架构。通过理解JWT的结构、工作原理和安全考虑，可以有效地在项目中使用JWT。

关键要点：

  • JWT是自包含的、无状态的令牌
  • 由Header、Payload和Signature三部分组成
  • 适合分布式系统和API认证
  • 需要仔细考虑安全性和性能
  • 实现时要注意最佳实践

选择合适的认证方案需要根据具体需求和安全要求来决定。JWT不是万能的，但在合适的场景下，它是一个优秀的选择。

Read more

最新电子电气架构（EEA）调研-3

而新一代的强实时性、高确定性，以及满足CAP定理的同步分布式协同技术（SDCT），可以实现替代TSN、DDS的应用，且此技术已经在无人车辆得到验证，同时其低成本学习曲线、无复杂二次开发工作，将开发人员的劳动强度、学习曲线极大降低，使开发人员更多的去完成算法、执行器功能完善。 五、各大车厂的EEA 我们调研策略是从公开信息中获得各大车厂的EEA信息，并在如下中进行展示。 我们集中了华为、特斯拉、大众、蔚来、小鹏、理想、东风（岚图）等有代表领先性的车辆电子电气架构厂商。        1、华为 图12 华为的CCA电子电气架构              （1）华为“计算＋通信”CC架构的三个平台                         1）MDC智能驾驶平台；                         2）CDC智能座舱平台                         3）VDC整车控制平台。        联接指的是华为智能网联解决方案，解决车内、车外网络高速连接问题，云服务则是基于云计算提供的服务，如在线车主服务、娱乐和OTA等。 华

By Ne0inhk
Apache IoTDB 架构特性与 Prometheus+Grafana 监控体系部署实践

Apache IoTDB 架构特性与 Prometheus+Grafana 监控体系部署实践

Apache IoTDB 架构特性与 Prometheus+Grafana 监控体系部署实践 文章目录 * Apache IoTDB 架构特性与 Prometheus+Grafana 监控体系部署实践 * Apache IoTDB 核心特性与价值 * Apache IoTDB 监控面板完整部署方案 * 安装步骤 * 步骤一：IoTDB开启监控指标采集 * 步骤二：安装、配置Prometheus * 步骤三：安装grafana并配置数据源 * 步骤四：导入IoTDB Grafana看板 * TimechoDB（基于 Apache IoTDB）增强特性 * 总结与应用场景建议 Apache IoTDB 核心特性与价值 Apache IoTDB 专为物联网场景打造的高性能轻量级时序数据库，以 “设备 - 测点” 原生数据模型贴合物理设备与传感器关系，通过高压缩算法、百万级并发写入能力和毫秒级查询响应优化海量时序数据存储成本与处理效率，同时支持边缘轻量部署、

By Ne0inhk
SQL Server 2019安装教程(超详细图文)

SQL Server 2019安装教程(超详细图文)

SQL Server 介绍） SQL Server 是由 微软（Microsoft） 开发的一款 关系型数据库管理系统（RDBMS），支持结构化查询语言（SQL）进行数据存储、管理和分析。自1989年首次发布以来，SQL Server 已成为企业级数据管理的核心解决方案，广泛应用于金融、电商、ERP、CRM 等业务系统。它提供高可用性、安全性、事务处理（ACID）和商业智能（BI）支持，并支持 Windows 和 Linux 跨平台部署。 一、获取 SQL Server 2019 安装包 1. 官方下载方式 前往微软官网注册账号后，即可下载 SQL Server Developer 版本（

By Ne0inhk