## 引言
JWT者，现代Web应用中常用之认证机制也，其以轻便、安全、跨域之特性，广受开发者青睐。本文旨在深入浅出，剖析JWT之原理、结构、应用场景及实现之道，辅以代码示例，务求读者明其理、践其行。
## 一、JWT之本质
### 1.1 何为JWT？
JSON Web Token（JWT）乃一开放标准（RFC 7519），用于在各方间传递信息。其以JSON格式封装声明（claims），通过数字签名或加密确保数据之完整性与真实性。JWT常用于认证与授权，尤适于分布式系统、单点登录（SSO）及API安全。
### 1.2 JWT之结构
JWT由三部分构成：**Header**、**Payload**、**Signature**，以`.`分隔，编码为Base64Url格式。其结构如下：
```
Header.Payload.Signature
```
#### 1.2.1 Header（头部）
Header包含令牌之类型及签名算法，典型示例如下：
```json
{
"alg": "HS256",
"typ": "JWT"
}
```
- `alg`：签名算法，如HS256（HMAC-SHA256）、RS256（RSA-SHA256）等。
- `typ`：令牌类型，通常为`JWT`。
此JSON经Base64Url编码，形成JWT之第一部分。
#### 1.2.2 Payload（载荷）
Payload承载声明（claims），即令牌之核心信息，分为三类：
- **注册声明（Registered Claims）**：如`iss`（发行者）、`sub`（主体）、`exp`（过期时间）、`iat`（发行时间）等。
- **公开声明（Public Claims）**：自定义声明，需避免与注册声明冲突。
- **私有声明（Private Claims）**：应用专属声明，如用户ID、角色等。
示例：
```json
{
"sub": "1234567890",
"name": "John Doe",
"iat": 1516239022,
"exp": 1516242622
}
```
此JSON亦经Base64Url编码，形成第二部分。
#### 1.2.3 Signature（签名）
Signature通过对Header与Payload之Base64Url编码串，结合密钥（secret）及指定算法生成。HS256算法之签名公式如下：
```
HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)
```
签名经Base64Url编码，形成第三部分，确保令牌未被篡改。
#### 1.2.4 完整JWT示例
假设Header、Payload及密钥如下：
```json
// Header
{
"alg": "HS256",
"typ": "JWT"
}
// Payload
{
"sub": "1234567890",
"name": "John Doe",
"iat": 1516239022
}
// Secret
"your-256-bit-secret"
```
最终JWT为：
```
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
```
## 二、JWT之工作原理
### 2.1 认证流程
1. **用户登录**：用户提交凭据（如用户名、密码），服务器验证后生成JWT。
2. **令牌下发**：服务器将JWT返回客户端，客户端存储之（通常于localStorage或Cookie）。
3. **请求认证**：客户端后续请求中，于HTTP头（通常`Authorization: Bearer `）携带JWT。
4. **令牌验证**：服务器验证JWT之签名及有效性，确认用户身份及权限。
5. **响应处理**：若验证通过，服务器处理请求并返回结果；否则，拒绝访问。
### 2.2 优势与局限
#### 优势：
- **无状态**：JWT自包含用户信息，无需服务器存储会话。
- **跨域支持**：适用于分布式系统及微服务架构。
- **灵活性**：Payload可自定义，适配多种场景。
#### 局限：
- **不可撤销**：JWT一旦签发，除非过期，难以主动失效。
- **数据暴露**：Payload仅Base64编码，非加密，敏感信息需谨慎存储。
- **令牌大小**：Payload过大可能导致请求头冗长。
## 三、JWT之实现
以下以Node.js及`jsonwebtoken`库为例，展示JWT之生成与验证。
### 3.1 环境准备
安装依赖：
```bash
npm install jsonwebtoken
```
### 3.2 生成JWT
```javascript
const jwt = require('jsonwebtoken');
const user = { id: 123, name: 'John Doe' };
const secret = 'your-256-bit-secret';
const token = jwt.sign(user, secret, { expiresIn: '1h' });
console.log(token);
```
- `jwt.sign`：生成JWT。
- `expiresIn`：设置过期时间，如`1h`（1小时）。
### 3.3 验证JWT
```javascript
const jwt = require('jsonwebtoken');
const token = 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...';
const secret = 'your-256-bit-secret';
try {
const decoded = jwt.verify(token, secret);
console.log(decoded);
} catch (err) {
console.error('Token验证失败：', err.message);
}
```
- `jwt.verify`：验证签名及有效性，返回Payload或抛出错误。
### 3.4 Express中间件
以下为Express中集成JWT认证之示例：
```javascript
const express = require('express');
const jwt = require('jsonwebtoken');
const app = express();
const secret = 'your-256-bit-secret';
// 登录路由
app.post('/login', (req, res) => {
// 模拟用户验证
const user = { id: 123, name: 'John Doe' };
const token = jwt.sign(user, secret, { expiresIn: '1h' });
res.json({ token });
});
// 受保护路由
app.get('/protected', (req, res) => {
const token = req.headers.authorization?.split(' ')[1];
if (!token) return res.status(401).json({ error: '无令牌' });
try {
const decoded = jwt.verify(token, secret);
res.json({ message: '访问成功', user: decoded });
} catch (err) {
res.status(401).json({ error: '令牌无效' });
}
});
app.listen(3000, () => console.log('服务器运行于3000端口'));
```
## 四、JWT之最佳实践
1. **使用HTTPS**：确保JWT传输加密，防止拦截。
2. **短效令牌**：设置合理过期时间（如1小时），并结合刷新令牌（Refresh Token）延长会话。
3. **避免敏感信息**：Payload中勿存密码等敏感数据。
4. **强密钥**：使用复杂且安全的密钥，HS256需至少256位，RS256需公私钥对。
5. **令牌撤销**：维护黑名单（如Redis）存储失效JWT，或使用短效令牌。
6. **防御CSRF**：若使用Cookie存储JWT，需启用CSRF防护。
## 五、常见问题与解决
1. **令牌过期**：捕获`TokenExpiredError`，提示用户重新登录或使用刷新令牌。
2. **签名篡改**：`jwt.verify`自动检测，抛出`JsonWebTokenError`。
3. **存储安全**：优先使用HttpOnly、Secure的Cookie存储JWT，防范XSS攻击。
## 六、结语
JWT以其简洁高效，广泛应用于现代Web认证。然其安全依赖于正确配置与实践，开发者须谨慎处理密钥管理、令牌存储及防护措施。本教程以Node.js为例，然JWT之原理通用于各语言与框架，读者可依需适配。
登录后可参与表态
讨论回复
1 条回复
QianXun (QianXun)
#1
10-17 05:03
登录后可参与表态