什么是JWT

Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519).该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景。

JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。

基于session认证的问题

http协议是一种无状态协议，客户端和服务器端进行认证请求时需要用户名密码，我们并不知道时哪个用户发出的请求，为了识别时谁请求的，就要再服务器端存储一份登陆信息，同时会传递给浏览器，告诉其保存为cookie，

这种传统的session认证暴露出一些问题，用户越多，服务器端开销越大，扩展不好，容易被csrf攻击

基于token的授权机制

基于token的授权机制不需要服务器端保留用户信息，即不需要知道用户在那台服务器登陆了。

下图是jwt再小程序的应用：

认证流程.jpg

登陆之后每次请求都会在header里带上token。

JWT协议

JWT有三段信息组成如下

 eyJhbGciOiJIUzUxMiJ9.eyJzdWIiOiJvZVhQMTVVWmJHcllreWhSQkhyWnFuNXFKSDM4IiwiY3JlYXRlZCI6MTU0MDgwNjI2NzUxMiwiZXhwIjoxNTQxNDExMDY3LCJrZXkiOiI3b2xOM05QVWlpeHNVWDdIYmdZZmh3PT0ifQ.nxvr_Na0fya9O2fC1rsbghicAU1be6n5fHTP4BdNEKGjyfmi3Z9NZMmlU4rHv5O5bOWWM5vf_-cKskG63dYVVg

JWT构成

有三部分组成：头部(header)、载荷(payload)、签名(signature)

header:

JWT的header声明了2部分信息，类型和加密算法，

{
'typ':'JWT',
'alg':'HS256'
}

将其base64加密得到

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

payload:

存放有效信息的地方，包含三个部分:

1、标准中注册的声明

• iss: jwt签发者

• sub: jwt所面向的用户

• aud: 接收jwt的一方

• exp: jwt的过期时间，这个过期时间必须要大于签发时间

• nbf: 定义在什么时间之前，该jwt都是不可用的.

• iat: jwt的签发时间

• jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击。

定义个简单的payload

{
"sub":   "1234567890",
"name":   "test",
}

base64加密结果: eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9

2、公共的声明

信息随便填，但不建议放敏感信息，可在客户端解密

3、私有的声明

提供者和消费者所共同定义的声明，一般不建议存放敏感信息，因为base64是对称解密的，意味着该部分信息可以归类为明文信息。

signature:

签名信息有三部分组成

1、 header(base64后) 这个部分需要base64加密后的header和base64加密后的payload使用.连接组成的字符串，然后通过header中声明的加密方式进行加盐secret组合加密，然后就构成了jwt的第三部分。

2、payload（base64后）

3、secret 保存在服务器端

var encodedString = base64UrlEncode(header) + '.' + base64UrlEncode(payload);       
var signature = HMACSHA256(encodedString, 'secret');        
// TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

注意事项:

secret是保存在服务器端的，jwt的签发生成也是在服务器端的，secret就是用来进行jwt的签发和jwt的验证，所以，它就是你服务端的私钥，在任何场景都不应该流露出去。一旦客户端得知这个secret, 那就意味着客户端是可以自我签发jwt了

安全相关

• 不应该在payload里放敏感信息
• 保护好secret
• 使用https\