JWT（JSON Web Token）是一种基于 JSON 的开放标准（RFC 7519），用于在网络应用之间传递声明。它是一种轻量级、安全的认证和授权机制，常用于分布式系统或 API 的身份验证。以下是 JWT 认证机制的核心概念：
### 1. **JWT 的结构**
JWT 由三部分组成，用点号（`.`）分隔：
- **Header（头部）**: 包含 token 的类型（通常是 "JWT"）和签名算法（如 HMAC SHA256 或 RSA）。例如：
```json
{
"alg": "HS256",
"typ": "JWT"
}
```
头部会被 Base64Url 编码。
- **Payload（负载）**: 包含声明（claims），即关于用户或其他数据的键值对。常见的声明包括：
- 标准声明（如 `iss`（发行者）、`sub`（主题）、`exp`（过期时间）、`iat`（发行时间）等）。
- 自定义声明（例如用户 ID 或角色）。
示例：
```json
{
"sub": "1234567890",
"name": "John Doe",
"iat": 1516239022
}
```
负载也会被 Base64Url 编码。
- **Signature（签名）**: 通过对 Header 和 Payload 进行签名生成，用于验证 token 的完整性和真实性。签名通常使用密钥（secret）结合指定的算法生成：
```
HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)
```
最终的 JWT 看起来像这样：
```
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
```
---
### 2. **工作原理**
- **生成**: 用户登录时，服务器验证凭据后生成一个 JWT，并将其返回给客户端。
- **传输**: 客户端在后续请求中将 JWT 放入 HTTP 请求头（通常是 `Authorization: Bearer <token>`）。
- **验证**: 服务器收到 JWT 后，使用密钥验证签名的有效性，并检查 Payload 中的声明（例如是否过期）。
- **无状态**: JWT 是自包含的，服务器无需存储会话信息，适合分布式系统。
---
### 3. **优点**
- **无状态**: 服务器不需要存储 token，减轻了数据库负担。
- **跨域**: 可在不同域名或服务之间共享认证信息。
- **安全性**: 通过签名保证 token 未被篡改，支持加密（JWE）进一步保护数据。
---
### 4. **缺点**
- **不可撤销**: 一旦签发，JWT 在过期前无法主动作废（除非使用黑名单机制）。
- **大小**: JWT 携带的信息越多，token 长度越长，可能增加请求开销。
- **安全性依赖密钥**: 如果密钥泄露，攻击者可以伪造 token。
---
### 5. **应用场景**
- **单点登录 (SSO)**: 在多个系统间共享认证状态。
- **API 认证**: 客户端与服务器之间的安全通信。
- **移动应用**: 轻量级认证机制，适合移动端。
总结来说，JWT 是一种简单高效的认证方式，通过将用户信息编码为 token 并利用签名确保安全性，在现代 Web 开发中得到了广泛应用。如果有具体问题或需要代码示例，可以进一步告诉我！
