百度360必应搜狗淘宝本站头条
HTML APICSS 语法HTML 游戏HTML5 支持CSS 谷歌字体
当前位置：网站首页 > 技术文章 > 正文

一分钟带你了解JWT认证_jwt authorization

myzbx 2025-09-29 08:33 18 浏览

一、JWT简介

JSON Web Token（JWT）是一个开放的标准（RFC 7519），它定义了一个紧凑且自包含的方式，用于在各方之间作为JSON对象安全地传输信息。由于此信息是经过数字签名的，因此可以被验证和信任。

更多信息可以查看官网：
https://jwt.io/introduction/

二、JWT认证和session认证的区别

  1. session认证

http协议是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，那么下一次请求时，用户还要再一次进行用户认证才行，因为根据http协议，我们并不能知道是哪个用户发送的请求，所以为了让我们的应用能识别是哪个用户发出的，我们只能在服务器存储一份用户登陆的信息，这份登陆信息会在响应时传递给浏览器，告诉其保存为cookie，以便下次请求时发送给我们的应用，这样我们的应用个就能识别请求来自哪个用户了，这就是传统的基于sessino认证。

  1. JWT认证

基于token的鉴权机制类似于http协议也是无状态的，它不需要在服务端去保留用户的认证信息或会话信息。这也就意味着JWT认证机制的应用不需要去考虑用户在哪一台服务器登录了，这就为应用的扩展提供了便利。

三、JWT认证流程

认证流程如下：

  1. 用户使用账号和密码发出post请求；
  2. 服务器使用私钥创建一个jwt；
  3. 服务器返回这个jwt给浏览器；
  4. 浏览器将该jwt串在请求头中像服务器发送请求；
  5. 服务器验证该jwt；
  6. 返回响应的资源给浏览器。

四、JWT组成

先来看一张JWT的信息的截图：

从上图可以看到，JWT含有三部分：头部（header）、载荷（payload）、签名（signature）。

  1. 头部（header）

JWT的头部有两部分信息：

  • 声明类型，这里是JWT
  • 声明加密的算法，通常直接使用HMAC SHA256

头部示例如下：

头部一般使用base64加密，加密后密文：
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

  1. 载荷（payload）

该部分一般存放一些有效的信息。JWT的标准定义包含五个字段：

  • iss：该JWT的签发者
  • sub: 该JWT所面向的用户
  • aud: 接收该JWT的一方
  • exp(expires): 什么时候过期，这里是一个Unix时间戳
  • iat(issued at): 在什么时候签发的

载荷示例如下：

  1. 签名（signature）

前面两部分都是使用Base64进行编码的，即前端可以解开知道里面的信息。signature 需要使用编码后的header和payload以及我们提供的一个密钥，然后使用header中指定的签名算法（HS256）进行签名。签名的作用是保证 JWT 没有被篡改过。

三个部分通过.连接在一起就是我们的 JWT 了，所以我们生成的JWT如下：

注意：密钥就是用来进行JWT的签发和JWT的验证，所以，它就是你服务端的私钥，在任何场景都不应该泄露出去。

五、JWT使用场景

JWT主要使用场景如下：

  • 授权

这是JWT使用最多的场景，一旦用户登录，每个后续的请求将包括JWT，从而允许用户访问该令牌允许的路由、服务和资源。

  • 信息交换：JSON

JWT可以用在各方之间安全地传输信息，因为JWT可以进行签名，所以您可以确定发件人是他们所说的人。另外，由于签名是使用标头和有效负载计算的，因此您还可以验证内容是否未被篡改。

相关推荐

vue3和web网页直接操作微信小程序云开发数据库

我们开发好小程序以后，有时候需要编写一个管理后台网页对数据库进行管理，之前我们只能借助云开发自带的cms网页，但是cms网页设计的比较丑，工作量和代码量也不够，所以我们今天就来带大家实现用vue3编写...

WebCurl:极致轻量的跨平台 HTTP 请求调试工具

在接口开发与测试领域，工具的轻量化、兼容性与安全性往往直接影响工作效率。WebCurl作为一款纯原生、无依赖的网页版API测试与调试工具，凭借极简架构与全场景适配能力，重新定义了接口调试工具的使...

webapi 全流程_webapi项目

C#中的WebAPIMinimalApi没有控制器，普通api有控制器，MinimalApi是直达型，精简了很多中间代码，广泛适用于微服务架构MinimalApi一切都在组控制台应用程序类【Progr...

Nodejs之MEAN栈开发(四)-- form验证及图片上传

这一节增加推荐图书的提交和删除功能，来学习node的form提交以及node的图片上传功能。开始之前需要源码同学可以先在git上fork：https://github.com/stoneniqiu/R...

CodeSpirit.Amis.AiForm 智能表单使用指南

概述AiForm是CodeSpirit.Amis框架的智能表单功能，专为AI驱动的长时间处理任务设计。它自动生成一个多步骤的用户界面，包含表单输入、进度监控、日志显示和结果展示等功能。功能特点...

初级、中级、高级前端工程师，对于form表单实现的区别

在React项目中使用AntDesign（Antd）的Form组件能快速构建标准化表单，特别适合中后台系统开发。以下是结合Antd的最佳实践和分层实现方案：一、基础用法：快速搭...

Bun v0.7 大版本发布，与 Vite 牵手来破局?

大家好，很高兴又见面了，我是"高级前端进阶"，由我带着大家一起关注前端前沿、深入前端底层技术，大家一起进步，也欢迎大家关注、点赞、收藏、转发，您的支持是我不断创作的动力。今天给大家带来...

「前端」界面可视化开发框架formio.js

简介formio是一个前端可视化开发框架，无需写css/js就可以开发一套前端界面。直接在界面内拖拽就可以完成界面的布局及开发。数据交互也是固定的，表单校验也可以配置，功能非常强大。特性使用ES6...

小伙给同事爬取数据竟获取不到，竟要使用这种请求方式才能获取?

Http请求中FormData和RequestPayload两种参数的区别?AjaxPost请求中常用的两种的形式：formdata和requestpayload一、默认的表单方式...

WinForm + Win32 API 自定义无边框窗口实战(工业软件必备)

前言随着.NET9.0AOT（Ahead-of-Time）的发布，便萌生了用代码测试AOT编译效果的想法，同时评估未来是否为NanUI开发支持AOT编译的新版本。关于NanUI项目，若大家尚未了...

DeepSeek从入门到精通(11)——网页版、APP、API使用方式比较

DeepSeek提供了三种主要的使用方法：网页版、手机APP和API调用。这三种方式各有特点，适用于不同的使用场景。下面从使用方法和主要特点两方面进行比较：一、网页版使用方法：直接通过浏览器访问De...

初略Web API Notification 桌面通知

HTML5WebNotificationsAPI通知接口用于向用户配置和显示桌面通知弹窗。例如，Email邮件通知、来电提醒、聊天信息提醒或任务提醒等。关于Web开发技术中Notificat...

什么是API网关?——驱动数字化转型的“隐形冠军”

什么是API网关API网关（APIGateway）是一个服务器，位于应用程序和后端服务之间，提供了一种集中式的方式来管理API的访问。它是系统的入口点，负责接收并处理来自客户端的请求，然后将请求路由...

.NET 7使用 Entity Framework Core 制作增删改查(CRUD) Web API 教程

在本文中，我们将使用EntityFrameworkCore(EFCore)实现一个.NET7WebAPICRUD示例。WebAPI是一个构建HTTP服务的框架，可以从浏览器、移动设备和...

C# ASP.NET Core Web Api 与 MVC 模式下 body 参数传递，post 参数方式

在ASP.NETCore中，WebAPI和MVC模式在处理HTTP请求时，特别是POST请求，使用body参数来传递数据的方式非常相似。两者都使用模型绑定来自动将请求体中的数据映射到C#对象上。下...

一周热门
最近发表
标签列表