JSON Web Token 的结构是什么呢

发布时间：2021-12-13 21:08:58 作者：柒染
来源：亿速云阅读：168

# JSON Web Token 的结构是什么呢

## 引言

在现代Web开发和API设计中，身份验证和授权是至关重要的安全机制。JSON Web Token（JWT）作为一种轻量级、自包含的开放标准（RFC 7519），已成为实现跨域身份验证的主流方案之一。本文将深入剖析JWT的结构，揭示其如何通过紧凑的字符串传递可信信息。

## 一、JWT概述

### 1.1 什么是JWT
JWT是一种基于JSON的开放标准，用于在网络应用环境间安全传递声明（Claims）。它由三部分组成，通过点号（`.`）连接，形如：

xxxxx.yyyyy.zzzzz


### 1.2 核心特点
- **自包含性**：负载（Payload）包含所有必要用户信息
- **可验证性**：通过签名保证令牌未被篡改
- **无状态性**：服务端无需存储会话信息
- **跨域支持**：适合分布式系统和微服务架构

## 二、JWT的标准化结构

根据RFC 7519规范，完整的JWT由三个部分组成：

### 2.1 Header（头部）
位于JWT的第一部分，采用Base64Url编码。包含两个关键字段：
```json
{
  "alg": "HS256",
  "typ": "JWT"
}

alg：签名算法（如HS256、RS256等）
typ：令牌类型（固定为”JWT”）

实际示例：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9

2.2 Payload（负载）

JWT的第二部分，同样使用Base64Url编码。包含三类声明：

标准注册声明（Registered Claims）

{
  "iss": "auth-server",  // 签发者
  "sub": "user123",     // 主题
  "aud": "api.example", // 接收方
  "exp": 1716243200,    // 过期时间
  "nbf": 1716243100,    // 生效时间
  "iat": 1716243000     // 签发时间
}

公共声明（Public Claims）

{
  "name": "John Doe",
  "admin": true
}

私有声明（Private Claims）

{
  "company": "Acme Inc",
  "department": "Engineering"
}

实际示例：

eyJpc3MiOiJhdXRoLXNlcnZlciIsInN1YiI6InVzZXIxMjMiLCJleHAiOjE3MTYyNDMyMDB9

2.3 Signature（签名）

第三部分是前两部分的数字签名，用于验证消息完整性。生成公式：

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

实际签名示例：

SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

三、JWT的完整示例

组合后的完整JWT：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.
eyJpc3MiOiJhdXRoLXNlcnZlciIsInN1YiI6InVzZXIxMjMiLCJleHAiOjE3MTYyNDMyMDB9.
SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

四、JWT的编码细节

4.1 Base64Url编码

与标准Base64编码的区别： - 替换+为- - 替换/为_ - 删除末尾的=

4.2 签名算法类型

算法类型	描述	典型用途
HS256	HMAC + SHA-256	对称加密
RS256	RSA + SHA-256	非对称加密
ES256	ECDSA + P-256 + SHA-256	高安全需求场景

五、JWT的安全实践

5.1 必须实施的防护措施

HTTPS传输：防止中间人攻击
有效期控制：设置合理的exp声明
算法验证：拒绝”none”算法令牌
密钥保护：HS256密钥长度至少32字节

5.2 常见攻击防范

重放攻击：使用jti（JWT ID）声明
算法混淆：明确指定接受的算法
信息泄露：敏感数据不应放在Payload中

六、JWT的优缺点分析

6.1 优势

✅ 无状态设计减轻服务器压力
✅ 跨语言支持（所有主流语言都有库实现）
✅ 适合前后端分离架构
✅ 可扩展的声明设计

6.2 局限性

❌ 令牌一旦签发无法主动废止
❌ 负载内容增大网络开销
❌ 需要妥善管理密钥/证书

七、实际应用场景

7.1 典型用例

用户认证：替代传统Session-Cookie方案
API授权：OAuth 2.0的Bearer Token
单点登录：跨域身份共享
微服务通信：服务间安全调用

7.2 与其他方案的对比

特性	JWT	Session Cookie	Opaque Token
状态管理	无状态	有状态	有状态
跨域支持	优秀	受限	优秀
数据携带	自包含	无	无
撤销能力	弱	强	强

八、JWT的调试与验证

8.1 调试工具推荐

jwt.io 在线调试器
Postman的JWT验证功能
命令行工具jq+base64组合

8.2 验证流程示例（Node.js）

const jwt = require('jsonwebtoken');

try {
  const decoded = jwt.verify(token, secretKey, {
    algorithms: ['HS256'],
    issuer: 'auth-server',
    audience: 'api.example'
  });
  console.log('Valid JWT:', decoded);
} catch (err) {
  console.error('Invalid JWT:', err.message);
}

结语

理解JWT的结构是安全实施身份验证的基础。通过Header-Payload-Signature的三段式设计，JWT在简洁性和安全性之间取得了良好平衡。开发者在实际应用中应当根据具体场景选择适当的算法和有效期，并始终遵循最小权限原则。随着Web安全形势的不断变化，及时更新相关库和密钥也是保障系统安全的重要措施。

注：本文示例中的时间戳均为Unix时间戳格式，密钥和令牌均为示例用途，实际生产环境请使用符合安全规范的密钥生成和管理方案。 “`

这篇文章采用Markdown格式编写，包含： 1. 多级标题结构 2. 代码块展示JSON结构 3. 表格对比不同技术方案 4. 安全注意事项提示框 5. 实际代码示例 6. 标准化的RFC引用

全文约1800字，完整覆盖了JWT的各个技术细节，同时保持了技术文档的准确性和可读性。