什么是 JWT？一文彻底搞懂 JSON Web Token（附 Spring Boot 实战）

Ne0inhk

22 Mar 2026 — 5 min read

视频看了几百小时还迷糊？关注我，几分钟让你秒懂！

你是否经常听到这些词：

“我们用 JWT 做登录认证”
“前端把 token 放在 Authorization 头里”
“JWT 无状态，适合分布式系统”

但你真的理解 JWT 到底是什么？它怎么工作？和 Session 有什么区别？ 吗？

今天我们就用 通俗语言 + 图解 + Spring Boot 代码实战，带你从零彻底搞懂 JWT！

🧩 一、一句话解释 JWT

JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在网络应用间安全地传递“声明”（claims）的紧凑、自包含令牌。

简单说：JWT 就是一个加密的字符串，里面包含了用户身份信息，服务器不用查数据库就能验证你是谁！

🔍 二、JWT 长什么样？

一个典型的 JWT 看起来像这样：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9. eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ. SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

它由 三部分组成，用点 . 分隔：

部分	说明	是否可读
Header（头部）	算法 + 类型	Base64 可解码
Payload（载荷）	用户数据（如 ID、角色、过期时间）	Base64 可解码
Signature（签名）	用于验证令牌是否被篡改	不可逆

✅ 注意：JWT 默认是 Base64 编码，不是加密！任何人都能解码看到内容！
🔒 安全靠的是 签名（Signature），防止内容被篡改。

📦 三、三部分详解（附解码示例）

1. Header（头部）

{ "alg": "HS256", "typ": "JWT" }

alg：签名算法（如 HS25 sH A256、RS256）
typ：令牌类型，固定为 JWT

2. Payload（载荷）— 存放用户信息的地方！

{ "sub": "1234567890", // 主题（通常是用户ID） "name": "John Doe", "admin": true, "iat": 1516239022, // 签发时间（时间戳） "exp": 1516242622 // 过期时间（重要！） }

⚠️ 不要在 Payload 里放敏感信息（如密码、手机号）！ 因为它是明文（Base64 可解码）！

3. Signature（签名）— 安全的核心！

服务器用 密钥 + 算法 对 Header + Payload 进行签名：

HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secretKey )

客户端无法伪造签名（不知道 secretKey）；
服务器收到 JWT 后，会重新计算签名，比对是否一致；
只要 Payload 被改，签名就失效！

🔄 四、JWT 认证流程（图解）

✅ 整个过程 服务器无需存储 session，真正“无状态”！

⚖️ 五、JWT vs Session（传统方案）

特性	JWT	Session
存储位置	客户端（LocalStorage/Cookie）	服务端（内存/Redis）
状态	无状态（Stateless）	有状态（需维护 session）
扩展性	天然支持分布式	需共享 session（如 Redis）
安全性	依赖签名，防篡改	依赖 session ID 随机性
登出	难（需黑名单或短期过期）	容易（删 session 即可）
传输大小	较大（含用户数据）	小（只传 session ID）

💡 JWT 适合：API 服务、微服务、移动端
💡 Session 适合：传统 Web 应用、需要强登出控制的系统

💻 六、Spring Boot 实战：手写 JWT 登录

1. 添加依赖

<dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt-api</artifactId> <version>0.11.5</version> </attribute> <dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt-impl</artifactId> <version>0.11.5</version> <scope>runtime</scope> </dependency> <dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt-jackson</artifactId> <version>0.11.5</version> <scope>runtime</scope> </dependency>

2. JWT 工具类

@Component public class JwtUtil { private String secret = "MySecretKey123!@#"; // 生产环境应配置在 application.yml private long expiration = 86400000; // 24小时 public String generateToken(String userId) { return Jwts.builder() .setSubject(userId) .setIssuedAt(new Date()) .setExpiration(new Date(System.currentTimeMillis() + expiration)) .signWith(SignatureAlgorithm.HS256, secret) .compact(); } public String getUserIdFromToken(String token) { return Jwts.parser() .setSigningKey(secret) .parseClaimsJws(token) .getBody() .getSubject(); } public boolean validateToken(String token) { try { Jwts.parser().setSigningKey(secret).parseClaimsJws(token); return true; } catch (Exception e) { return false; } } }

3. 登录接口

@RestController public class AuthController { @Autowired private JwtUtil jwtUtil; @PostMapping("/login") public ResponseEntity<?> login(@RequestBody LoginRequest req) { // 模拟验证账号密码（实际应查数据库） if ("admin".equals(req.getUsername()) && "123456".equals(req.getPassword())) { String token = jwtUtil.generateToken("10001"); return ResponseEntity.ok(Map.of("token", token)); } return ResponseEntity.status(401).body("账号或密码错误"); } }

4. 拦截器：验证 JWT

public class JwtInterceptor implements HandlerInterceptor { @Autowired private JwtUtil jwtUtil; @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) { String authHeader = request.getHeader("Authorization"); if (authHeader != null && authHeader.startsWith("Bearer ")) { String token = authHeader.substring(7); if (jwtUtil.validateToken(token)) { // 可将用户ID存入 ThreadLocal 或 Request Attribute return true; } } response.setStatus(401); return false; } }

注册拦截器：

@Configuration public class WebConfig implements WebMvcConfigurer { @Override public void addInterceptors(InterceptorRegistry registry) { registry.addInterceptor(new JwtInterceptor()) .addPathPatterns("/api/**") .excludePathPatterns("/login"); } }

⚠️ 七、JWT 的致命缺点 & 注意事项

❌ 1. 无法主动登出（除非用黑名单）

JWT 一旦签发，在过期前一直有效；
即使用户点击“退出”，旧 token 仍可使用；
解决方案：
- 设置较短过期时间（如 15 分钟）+ 刷新令牌（Refresh Token）；
- 维护一个 Redis 黑名单，记录已登出的 token。

❌ 2. Payload 不是加密的！

所有人都能解码看到内容；
永远不要放密码、身份证号等敏感信息！

❌ 3. 密钥泄露 = 全盘崩溃

如果 secretKey 泄露，攻击者可伪造任意用户 token；
必须严格保管密钥！

✅ 最佳实践建议：

项目	建议
过期时间	Access Token 15~30 分钟，配合 Refresh Token
存储位置	Web 用 HttpOnly Cookie（防 XSS），App 用安全存储
传输协议	必须 HTTPS
密钥管理	用配置中心或环境变量，不要硬编码

🎯 总结

JWT = Header + Payload + Signature
自包含、无状态、适合分布式
不是加密，而是签名防篡改
无法主动登出是最大短板
Spring Boot 集成简单，但要注意安全细节

掌握 JWT，你就掌握了现代 API 认证的“通行证”！