JWT简介(一)

官网地址：https://jwt.io/introduction

官方简介：JSON Web Token (JWT)是⼀个开放标准(RFC 7519)，它定义了⼀种紧凑的、⾃包含的⽅式，⽤于 作为JSON对象在各⽅之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。

一、什么是JWT

　　JSON Web Token 简称IWT。

　　通过JSON对象的形式作为web项目中的令牌，用于各方之间数据安全的传递。

　　简单点说就是一种认证机制，让后台知道该请求来自于可信任的客户端。

二、JWT原理

　　后端服务认证以后会生产一个json对象，服务器完全只靠这个json对象校验用户身份， 为了防止json串被篡改，后端会在生成这个json对象时会进行签名

　　通俗讲，后端服务器端不保存这个数据，每次前端客户端请求时需要带着这个json对象

三、认证流程

　　

3.1、首先，前端通过Web表单将⾃⼰的⽤⼾名和密码发送到后端的接⼝。这⼀过程⼀般是⼀个HTTP POST请求。建议的⽅式是通过SSL加密的传输(https协议) ，从⽽避免敏感信息被嗅探。

3.2、后端核对⽤⼾名和密码成功后，将⽤⼾的id等其他信息作为JWT Payload (负载)，将其与头部分别 进⾏Base64编码拼接后签名，形成⼀个JWT(Token)。形成的JWT就是⼀个类似于 xxxxx. yyyyy. zzzz的字符串。token head.payload.signature

3.3、后端将JWT字符串作为登录成功的返回结果返回给前端。 前端可以将返回的结果保存在 localStorage或sessionStorage上， 退出登录时前端删除保存的JWT即可。

3.4、前端在每次请求时将JWT放⼊HTTP Header中的Authorization位。 (解决XSS和XSRF问题)

3.5、后端检查是否存在，如

　　　　存在验证JWT的有效性

　　　　检查签名是否正确

　　　　检查Token是否过期

　　　　检查Token的接收⽅是否是⾃⼰(可选)

3.6、验证通过后后端使⽤JWT中包含的⽤⼾信息进⾏其他逻辑操作，返回相应结果。

四、使用JWT有哪些好处？

4.1、简洁(Compact): 可以通过URL，POST参数或者在HTTP header发送，数据量⼩，传输速度快

4.2、⾃包含(Self-contained):负载中包含了所有⽤⼾所需要的信息，避免了多次查询数据库

4.3、因为Token是 以JSON加密的形式保存在客⼾端的，所以JWT是跨语⾔的，原则上任何web形式都 ⽀持。

4.4、不需要在服务端保存会话信息，特别适⽤于分布式微服务。