深入解读JWT：如何生成与解析你的安全令牌

大家好，欢迎来到IT知识分享网。

什么是JWT？

JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在各方之间以紧凑、安全的方式传递信息。JWT能够确保数据的完整性和验证身份，通常用于身份验证和信息交换中。它由三个部分组成：头部（Header）、载荷（Payload）和签名（Signature）。

JWT的结构

JWT的结构由三部分组成，每部分通过点号（.）连接。如下所示：

header.payload.signature 

1. Header（头部）
2. 头部一般由两部分组成：
3. alg：表示签名算法，如HMAC SHA256或RSA。
4. typ：表示令牌的类型，通常为JWT。
5. 例子：
6. { “alg”: “HS256”, “typ”: “JWT” }
7. Payload（载荷）
8. 载荷部分包含声明（Claims），声明可以是关于实体（如用户）及额外数据的语句。JWT中通常有三类声明：
9. 注册声明（Registered Claims）：例如sub（主题）、iat（签发时间）、exp（过期时间）等。
10. 公共声明（Public Claims）：这些是自定义的声明，应该避免与其他声明冲突。
11. 私有声明（Private Claims）：用户定义的声明，可以在JWT的发送方和接收方之间共享。
12. 例子：
13. { “sub”: “”, “name”: “John Doe”, “iat”: }
14. Signature（签名）
15. 签名是用来验证消息在传输过程中未被篡改的。签名的生成方式如下：
16. 使用加密算法（如HMAC SHA256或RSA）对Header和Payload进行编码，然后将它们和一个密钥一起签名。
17. 生成签名的过程如下：
18. signature = HMAC-SHA256( base64UrlEncode(header) + “.” + base64UrlEncode(payload), secret)

JWT的生成

生成JWT时，首先将头部和载荷进行Base64Url编码，然后将它们与签名合成JWT。以下是一个JWT生成的过程：

1. 编码Header：将头部JSON对象进行Base64Url编码。
2. 编码Payload：将载荷JSON对象进行Base64Url编码。
3. 生成签名：使用密钥和签名算法生成签名。
4. 拼接成JWT：将编码后的Header、Payload和签名用点号连接起来。

import base64 import hmac import hashlib import json # 头部（Header）和载荷（Payload）示例 header = { "alg": "HS256", "typ": "JWT" } payload = { "sub": "", "name": "John Doe", "iat":  } # Base64Url 编码 def base64url_encode(data): return base64.urlsafe_b64encode(data.encode('utf-8')).decode('utf-8').rstrip("=") # 生成签名 def create_signature(header_b64, payload_b64, secret): message = f"{header_b64}.{payload_b64}" return base64url_encode(hmac.new(secret.encode('utf-8'), message.encode('utf-8'), hashlib.sha256).digest()) # 编码Header和Payload header_b64 = base64url_encode(json.dumps(header)) payload_b64 = base64url_encode(json.dumps(payload)) # 创建签名 secret = "your-256-bit-secret" signature = create_signature(header_b64, payload_b64, secret) # 生成JWT jwt = f"{header_b64}.{payload_b64}.{signature}" print(jwt) 

JWT的解析

解析JWT时，需要将JWT分解为三个部分：Header、Payload和Signature。然后，验证签名以确保数据的完整性和来源的真实性。

1. 分解JWT：将JWT字符串拆分为Header、Payload和Signature。
2. Base64Url解码：解码Header和Payload部分。
3. 验证签名：使用密钥和算法验证Signature。

def decode_base64url(data): padding = '=' * (4 - len(data) % 4) return base64.urlsafe_b64decode(data + padding).decode('utf-8') # 拆分JWT header_b64, payload_b64, signature = jwt.split(".") # 解码Header和Payload decoded_header = json.loads(decode_base64url(header_b64)) decoded_payload = json.loads(decode_base64url(payload_b64)) # 验证签名 valid_signature = create_signature(header_b64, payload_b64, secret) if signature == valid_signature: print("JWT验证成功") else: print("JWT验证失败") 

总结

JWT是一个安全且高效的方式，用于在网络中传输信息。它的结构简单，但它的签名机制可以确保信息的完整性和安全性。在应用中，我们常用JWT进行身份验证，并用于授权和API安全等场景。通过合理使用JWT，可以大大提升系统的安全性与性能。