JWT(JSON Web Token)是一種用于在網(wǎng)絡應用環(huán)境中進行身份認證和信息交換的開放標準(RFC 7519)。它以緊湊、獨立和可驗證的方式將信息傳遞給客戶端與服務器之間，常用于用戶身份認證和授權管理。小編將詳細介紹JWT的認證原理、如何使用JWT進行身份認證以及如何在實際項目中實現(xiàn)JWT認證。
一、JWT認證的原理
JWT認證的核心原理是通過客戶端和服務器之間的token來標識用戶身份?？蛻舳嗽诘卿洉r通過用戶名和密碼進行身份驗證，服務器通過驗證這些信息后生成一個JWT并返回給客戶端，客戶端保存該JWT并在每次請求時將其發(fā)送給服務器進行驗證。服務器驗證JWT的有效性后，允許或拒絕客戶端的請求。
JWT由三部分組成：
頭部(Header)：描述JWT的元數(shù)據(jù)，通常包含兩部分信息：類型(JWT)和加密算法(如HMAC SHA256)。
負載(Payload)：存儲需要傳遞的數(shù)據(jù)，如用戶信息、過期時間等。負載部分的數(shù)據(jù)是未加密的，所以不適合存儲敏感數(shù)據(jù)。
簽名(Signature)：通過加密算法對頭部和負載部分進行加密，確保JWT在傳輸過程中不會被篡改。
JWT的結構示例如下：
Copy Codeheader.payload.signature
1. 頭部(Header)
頭部一般由兩部分組成：令牌的類型(JWT)和所使用的簽名算法(如HMAC SHA256 或 RSA)。
示例：
jsonCopy Code{
"alg": "HS256",
"typ": "JWT"
}
2. 負載(Payload)
負載部分存儲的是JWT中要傳遞的聲明(Claims)。聲明通常分為三種類型：
注冊聲明(Registered Claims)：如 iss(發(fā)行者)、exp(過期時間)、sub(主題)等。
公共聲明(Public Claims)：自定義字段，可以用于交換信息。
私有聲明(Private Claims)：自定義聲明字段，只有JWT的創(chuàng)建者和使用者知曉。
例如：
jsonCopy Code{
"sub": "1234567890",
"name": "John Doe",
"iat": 1516239022
}
3. 簽名(Signature)
簽名用于驗證JWT數(shù)據(jù)的完整性以及消息的來源。簽名是通過以下方式生成的：
Copy CodeHMACSHA256(
base64UrlEncode(header) + "." +
base64UrlEncode(payload),
secret)
其中，secret是服務器保存的密鑰，用于簽名和驗證簽名。只有服務器知道該密鑰，其他人無法偽造有效的JWT。
二、JWT認證的工作流程
JWT認證的整個過程通常包括以下幾個步驟：
1. 用戶登錄
用戶通過用戶名和密碼進行登錄，服務器驗證用戶的身份，確認無誤后生成JWT并返回給客戶端。這個JWT包含了用戶的身份信息以及有效期等聲明。
2. 客戶端存儲JWT
客戶端接收到JWT后，通常將其存儲在本地存儲(localStorage)或者會話存儲(sessionStorage)中。注意，JWT不應該存儲在瀏覽器的cookie中，避免XSS攻擊。
3. 客戶端攜帶JWT請求服務器
客戶端在后續(xù)的每次請求中，將JWT放入HTTP請求的Authorization頭部，格式如下：
Copy CodeAuthorization: Bearer <JWT>
4. 服務器驗證JWT
服務器接收到請求后，從請求頭部提取JWT，并驗證其合法性。驗證的過程包括：
檢查JWT是否存在;
檢查JWT的簽名是否正確;
檢查JWT是否已過期;
檢查JWT中聲明的其他信息是否有效。
如果JWT有效，服務器根據(jù)JWT中的用戶信息為用戶提供服務。如果無效，服務器會返回401 Unauthorized錯誤。
5. 返回響應
如果JWT有效，服務器處理完請求后返回響應;如果無效，返回錯誤信息。
三、如何使用JWT進行身份認證
1. 生成JWT
在用戶登錄時，服務器會根據(jù)用戶的身份信息生成JWT，簽名時使用一個密鑰(secret)以確保安全性。
下面是一個使用Node.js生成JWT的示例代碼：
javascriptCopy Codeconst jwt = require('jsonwebtoken');
// 用戶的身份信息
const user = {
id: 1,
username: 'john_doe'
};
// 秘鑰(用于簽名和驗證)
const secretKey = 'mysecretkey';
// 生成JWT，設置過期時間為1小時
const token = jwt.sign(user, secretKey, { expiresIn: '1h' });
console.log('Generated JWT:', token);
在上面的代碼中，jwt.sign()方法用于生成JWT，第一個參數(shù)是負載數(shù)據(jù)(如用戶ID、用戶名等)，第二個參數(shù)是密鑰，第三個參數(shù)是可選的配置項，如過期時間。
2. 驗證JWT
每次用戶請求時，服務器會驗證JWT的有效性，確保它沒有被篡改且未過期。下面是驗證JWT的代碼示例：
javascriptCopy Codeconst jwt = require('jsonwebtoken');
// 獲取請求頭中的JWT
const token = req.headers['authorization'].split(' ')[1];
// 驗證JWT
jwt.verify(token, secretKey, (err, decoded) => {
if (err) {
return res.status(401).send('Invalid or expired token');
}
// 如果JWT有效，返回解碼后的用戶信息
req.user = decoded;
next(); // 繼續(xù)處理請求
});
在這段代碼中，jwt.verify()用于驗證JWT的合法性。如果JWT有效，decoded將包含JWT的負載數(shù)據(jù)(如用戶ID等);如果無效或過期，則返回401 Unauthorized錯誤。
3. 使用JWT中間件
為了簡化JWT驗證過程，可以封裝一個JWT驗證中間件，集中處理身份認證邏輯。
javascriptCopy Codefunction authenticateJWT(req, res, next) {
const token = req.headers['authorization'] && req.headers['authorization'].split(' ')[1];
if (!token) {
return res.status(403).send('A token is required for authentication');
}
jwt.verify(token, secretKey, (err, decoded) => {
if (err) {
return res.status(401).send('Invalid or expired token');
}
req.user = decoded; // 將解碼后的用戶信息掛載到請求對象上
next();
});
}
在路由中使用中間件：
javascriptCopy Codeapp.get('/protected', authenticateJWT, (req, res) => {
res.send('This is a protected route');
});
這樣，當用戶訪問 /protected 路由時，authenticateJWT 中間件會先驗證JWT的合法性，只有通過驗證后才會繼續(xù)處理請求。
四、JWT認證的優(yōu)缺點
優(yōu)點：
無狀態(tài)(Stateless)：JWT不需要在服務器端存儲會話信息，減少了服務器的存儲負擔。所有的認證信息都存儲在JWT本身。
跨域支持：JWT支持跨域認證，適用于微服務架構或單頁面應用(SPA)。
靈活性：JWT可以在負載中存儲任意的自定義數(shù)據(jù)，增加了靈活性。
缺點：
安全性問題：JWT本身是未加密的，因此不適合存儲敏感信息(如密碼)，如果攻擊者獲取了JWT，它就能夠偽造請求。
令牌失效：由于JWT是無狀態(tài)的，一旦生成，直到過期前它一直有效，不能立即撤銷。如果需要強制注銷用戶，需要特殊的處理(如使用黑名單)。
JWT是一種簡潔、安全且高效的身份認證方式，尤其適用于分布式架構和無狀態(tài)的應用。通過理解JWT的工作原理，結合實際需求，可以輕松實現(xiàn)基于JWT的身份認證系統(tǒng)。然而，在實現(xiàn)JWT認證時，開發(fā)者需要注意安全性，特別是JWT的存儲和簽名的保護。
