什么是JWT

JWT （JSON Web Token） 是目前最流行的跨域认证解决方案，是一种基于 Token 的认证授权机制。 从 JWT 的全称可以看出，JWT 本身也是 Token，一种规范化之后的 JSON 结构的 Token。
JWT 自身包含了身份验证所需要的所有信息，因此，我们的服务器不需要存储 Session 信息。这显然增加了系统的可用性和伸缩性，大大减轻了服务端的压力。

JWT由那些部分组成

JWT 本质上就是一组字串，通过（.）切分成三个为 Base64 编码的部分：

  • Header : 描述 JWT 的元数据，定义了生成签名的算法以及 Token 的类型。
  • Payload : 用来存放实际需要传递的数据。不要将隐私数据存放到Payload中。
  • Signature（签名） ：服务器通过 Payload、Header 和一个密钥(Secret)使用 Header 里面指定的签名算法（默认是 HMAC SHA256）生成。主要作用是防止被篡改。

JWT 通常是这样的：xxxxx.yyyyy.zzzzz。

JWT是如何进行身份验证的？

image.png
两点建议：

  1. 建议将 JWT 存放在 localStorage 中，放在 Cookie 中会有 CSRF 风险。

  2. 请求服务端并携带 JWT 的常见做法是将其放在 HTTP Header 的 Authorization 字段中（Authorization: Bearer Token）。

    JWT如何保证不被篡改

    JWT 安全的核心在于签名，签名安全的核心在密钥。
    服务端拿到 JWT 之后，会解析出其中包含的 Header、Payload 以及 Signature 。服务端会根据 Header、Payload、密钥再次生成一个 Signature。拿新生成的 Signature 和 JWT 中的 Signature 作对比，如果一样就说明 Header 和 Payload 没有被修改。

    如何加强JWT的安全性

  3. 使用安全性较高的加密算法

  4. 存放在localStorage，而不是Cookie中，避免CSRF风险。
  5. 不要将隐私数据存放在Payload中
  6. 验证密钥不泄漏
  7. 加入exp（过期时间）