JWT 相关知识

1. JSON Web Token是什么

JSON Web Token (JWT)是一个开放标准(RFC 7519),它定义了一种紧凑的、自包含的方式,用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任,因为它是数字签名的。

简单的讲,JWT 是用于网络间传递声明而执行一种基于 JSON 的标准

官网:https://jwt.io/

2. 为什么使用 JWT?

(1) 跨域认证,单点登录
(2) API开发,前后端分离, 需要简单的对后台API进行保护
(3) 安全的信息交换(数字签名)

3. JWT的结构
JSON Web Token由三部分组成,它们之间用圆点(.)连接。这三部分分别是:

Header
Payload
Signature

因此,一个典型的JWT看起来是这个样子的:
xxxxx.yyyyy.zzzzz (各个部分均用 Base64URL转码,没有加密,不能放保密数据)

示例:

4. JWT的使用方式

(1) 放在 HTTP 请求的头信息 Authorization字段 里面:
Authorization: Bearer
(2) 放在 POST 请求的数据体里面
(3) 为了安全,JWT 应该使用 HTTPS 传输

5. JWT的优点
(1) 无状态和可扩展性
(2) 安全:Token不是Cookie,每次请求的时候Token都会被发送。而且,由于没有Cookie被发送,还有助于防止CSRF攻击

6. JWT与session的区别
相同点:存储用户信息

不同点:
Session是在服务器端的;JWT是在客户端的,服务端是无状态的
Session方式存储用户信息的最大问题在于要占用大量服务器内存,增加服务器的开销。
而JWT方式将用户状态分散到了客户端中,可以明显减轻服务端的内存压力。
Session的状态是存储在服务器端,客户端只有session id;而Token的状态是存储在客户端。

7. JWT与OAuth的区别
(1) OAuth2是一种授权框架 ,JWT是一种认证协议
(2) OAuth2用在使用第三方账号登录的情况,而JWT是在用户身份鉴别时使用。

8. Bearer 方案
Bearer 验证也属于HTTP协议标准验证,它随着OAuth协议而开始流行,详细定义见: RFC 6570

Bearer 验证中的凭证称为 BEARER_TOKEN,或者是access_token,它的颁发和验证完全由我们自己的应用程序来控制,不依赖于系统和Web服务器

OAuth2 或 API 认证,一般使用 JWT 作为客户端的认证手段,而JWT 传递 Token是用 Bearer Token方案:
即认证体前面加上 Bearer:

Authorization: Bearer[Token]

8. JWT的适用场景
(1) 一次性验证
比如用户注册后需要发一封邮件让其激活账户,通常邮件中需要有一个链接,这个链接需要具备以下的特性:
能够标识用户
该链接具有时效性(通常只允许几小时之内激活)
不能被篡改以激活其他可能的账户
这种场景就和 jwt 的特性非常贴近,jwt 的 payload 中固定的参数:iss 签发者和 exp 过期时间正是为其做准备的
(2) restful api 的无状态认证
客户端和服务端共享 secret;过期时间由服务端校验,客户端定时刷新;签名信息不可被修改
restful api 的无状态认证也可以由 Oauth2 完成

不太适合的场景:单点登录+会话管理
不推荐使用 jwt+cookie 代替 session+cookie
在 web 应用中,使用 jwt 代替 session 存在不小的风险,至少得解决一些问题(如:jwt token泄露,secret如何设计,注销和修改密码,续签问题等),绝大多数情况下,传统的 cookie-session 机制工作得更好。jwt 适合做简单的 restful api 认证,颁发一个固定有效期的 jwt,降低 jwt 暴露的风险,不要对 jwt 做服务端的状态管理,这样才能体现出 jwt 无状态的优势。

参考:
https://www.cnblogs.com/cjsblog/p/9277677.html
http://www.ruanyifeng.com/blog/2018/07/json_web_token-tutorial.html
https://blog.csdn.net/qq_28165595/article/details/80214994


Comments are closed.