JWT（JSON Web Token）是一种用于在网络应用环境间传递声明的安全、紧凑的开放标准（RFC 7519）。它被设计为能够被验证和信任，因为其内容是经过数字签名的。JWT通常用于身份验证和信息交换，特别是在分布式站点的单点登录（SSO）场景中。
JWT的原理：
- 无状态和扩展性：JWT通过在客户端存储令牌，避免了服务器存储session信息的需求，从而提高了应用的扩展性。
- 自包含：JWT自身包含了所有用户认证所需的信息，这意味着服务器不需要查询数据库来确认用户状态。
- 数字签名：JWT可以通过一个密钥进行签名，确保令牌在传输过程中未被篡改。
JWT的使用方式：
- 生成令牌：服务器在用户登录后生成一个JWT，并将其发送给客户端。
- 传输令牌：客户端将JWT存储在本地（如Cookie或LocalStorage），并在随后的每个请求中将其发送给服务器。
- 验证令牌：服务器接收到JWT后，验证其签名的有效性，并根据令牌内容处理请求。
JWT的数据结构：
- Header（头部）：包含令牌的类型和所使用的签名算法。
- Payload（负载）：包含所谓的Claims（声明），它们是关于实体（通常是用户）和其他数据的声明。
- Signature（签名）：使用头部指定的算法和密钥对头部和负载进行签名，以确保令牌的完整性和真实性。
代码使用示例：
以下是使用Java语言和java-jwt库进行JWT操作的示例：
生成JWT：
import com.auth0.jwt.JWT;
import com.auth0.jwt.algorithms.Algorithm;
public class JwtExample {
public static String generateToken(String username) {
String secret = "your-secret-key"; // 应安全存储和使用
return JWT.create()
.withClaim("username", username)
.sign(Algorithm.HMAC256(secret));
}
public static void main(String[] args) {
String token = generateToken("johndoe");
System.out.println("Generated Token: " + token);
}
}
验证和解析JWT：
import com.auth0.jwt.interfaces.DecodedJWT;
public class JwtExample {
public static DecodedJWT verifyToken(String token, String secret) {
return JWT.require(Algorithm.HMAC256(secret))
.build()
.verify(token);
}
public static void main(String[] args) {
String token = "your-jwt-token"; // 从客户端获取
DecodedJWT decodedJWT = verifyToken(token, "your-secret-key");
System.out.println("Decoded Token: " + decodedJWT);
}
}
