三分钟带你认识JWT (Java Web Token)

原创 已于 2025-07-11 09:22:16 修改 · 1.1k 阅读 · 27 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#java #前端 #开发语言

于 2025-07-10 21:37:19 首次发布

1 初识JWT

JWT（JSON Web Token）的出现主要是为了解决分布式系统中身份认证和权限授权的问题，特别是在跨域、前后端分离的架构中。以下是其核心目标和解决的痛点：

一、传统session认证的局限性

在JWT之前，Web应用常用Session-Cookie机制进行身份认证：

  1. 服务器状态存储：Session数据存储在服务器端（如内存、Redis），客户端通过Cookie中的Session ID访问。这导致：
    • 可扩展性差：分布式系统中需要Session共享（如粘性会话、分布式缓存）。
    • 单点故障：依赖中心化的Session存储。
  2. 跨域支持弱：Cookie受同源策略限制，难以直接用于跨域请求（如微服务、第三方API）。
  3. CSRF风险：基于Cookie的认证易受跨站请求伪造（CSRF）攻击。
  4. 移动端适配困难：原生App、小程序等非浏览器环境对Cookie的支持有限。

二、JWT解决的核心问题

1. 无状态认证

JWT将用户信息编码在Token中，服务器无需存储Session数据。每次请求携带完整信息，实现无状态：

  • 优点：
    • 简化分布式系统架构（无需Session共享）。
    • 支持水平扩展（任意服务器均可验证Token）。
    • 适合微服务、API网关等场景。
2. 跨域与跨服务调用

JWT通过HTTP Header（如Authorization: Bearer Token）传递，不依赖Cookie，天然支持：

  • 跨域资源共享（CORS）。
  • 第三方服务集成（如OAuth2.0 + JWT）。
  • 前后端分离架构（前端存储Token，后端无状态验证）。
3. 安全性提升
  • 防CSRF：不依赖Cookie，避免CSRF攻击。
  • 完整性验证：通过签名确保Token未被篡改。
  • 细粒度权限控制：可在Payload中嵌入用户角色、权限等信息。
4. 多平台兼容

支持任何能存储和发送字符串的客户端：

  • 浏览器（LocalStorage/Cookie）。
  • 移动应用（原生存储）。
  • IoT设备。
5. 去中心化信任

JWT的签名机制允许不同服务独立验证Token有效性，无需依赖中心化认证服务（如公钥加密）。例如：

  • 服务A生成Token，服务B/C通过公钥直接验证。
  • 适合OAuth2.0中的JWT令牌场景。

三、典型应用场景

  1. 单点登录（SSO）：一个Token在多个子系统中通用。
  2. API授权：第三方应用通过JWT访问资源服务器。
  3. 信息交换：安全地在不同服务间传递用户信息（如用户ID、角色）。
  4. 一次性操作：如邮件验证链接、重置密码Token（通过设置短有效期）。

四、对比其他技术

技术存储位置状态性跨域支持典型场景
Session-Cookie服务器+客户端有状态差传统Web应用
JWT客户端无状态好前后端分离、微服务
OAuth2.0客户端+授权服务器混合好第三方登录、API授权

五、JWT的局限性

虽然JWT解决了许多问题，但也有适用边界：

  1. Token体积大：包含完整用户信息，可能影响性能。
  2. 无法主动失效：Token一旦签发，直到过期前都有效（需配合黑名单或短有效期）。
  3. 敏感信息风险：Payload是Base64编码而非加密，不要存储密码等敏感数据。

总结

JWT的核心价值在于用无状态、自包含的方式安全传递身份信息，尤其适合分布式、微服务和移动应用场景。它通过牺牲部分灵活性（如无法动态修改权限）换取了架构的可扩展性和简单性。

2 熟悉JWT

一、JWT基本概念

JWT（JSON Web Token）是一种用于在网络应用间安全传递声明的开放标准（RFC 7519）。它通常由三部分组成：头部（Header）、载荷（Payload）和签名（Signature），形式为Header.Payload.Signature。

  • 头部（Header）：包含两部分信息，令牌类型（通常是JWT）和使用的签名算法（如HMAC SHA256或RSA）。
  • 载荷（Payload）：包含声明（Claims），即关于实体（通常是用户）和其他数据的声明。声明分为三种类型：
    • 注册声明：如iss（发行人）、sub（主题）、aud（受众）等。
    • 公开声明：由各方自由定义。
    • 私有声明：在同意使用的一方之间定义的自定义声明。
  • 签名（Signature）：为了创建签名部分，需要使用编码后的Header、编码后的Payload、一个秘钥（secret）和Header中指定的签名算法。签名用于验证消息在传递过程中没有被更改，并且在使用私钥签名的情况下，还可以验证JWT的发送者身份。

二、JWT的原理

JWT的核心原理是通过数字签名确保信息的完整性和真实性。当用户登录成功后，服务器生成一个JWT并返回给客户端，客户端在后续请求中携带这个JWT，服务器通过验证签名来确认请求的合法性。整个流程如下：

  1. 用户认证：用户向服务器提供身份凭证（如用户名和密码）。
  2. 生成JWT：服务器验证凭证后，创建一个包含用户信息的JWT，并使用私钥签名。
  3. 返回JWT：服务器将JWT返回给客户端，通常存储在LocalStorage或Cookie中。
  4. 携带JWT：客户端在后续请求中，将JWT放在HTTP请求头的Authorization字段中，格式为Bearer {token}。
  5. 验证JWT：服务器接收请求后，验证JWT的签名和有效性，确认用户身份。
  6. 授权访问：服务器验证通过后，根据JWT中的用户信息授权用户访问受保护的资源。

三、JWT实例

以下是一个JWT的示例：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

将其分解为三部分：

  1. 头部（Header）：
{
  "alg": "HS256",
  "typ": "JWT"
}
  1. 载荷（Payload）：
{
  "sub": "1234567890",
  "name": "John Doe",
  "iat": 1516239022
}
  1. 签名（Signature）：
SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

四、JWT的使用实例

以下是一个使用Python和Flask实现JWT认证的示例：

from flask import Flask, request, jsonify
import jwt
from datetime import datetime, timedelta
from functools import wraps

app = Flask(__name__)
app.config['SECRET_KEY'] = 'your-secret-key'  # 用于签名的秘钥

# 生成JWT
def generate_token(user_id):
    payload = {
        'user_id': user_id,
        'exp': datetime.utcnow() + timedelta(hours=1)  # 令牌有效期1小时
    }
    token = jwt.encode(payload, app.config['SECRET_KEY'], algorithm='HS256')
    return token

# 验证JWT
def decode_token(token):
    try:
        payload = jwt.decode(token, app.config['SECRET_KEY'], algorithms=['HS256'])
        return payload
    except jwt.ExpiredSignatureError:
        return 'Token expired'
    except jwt.InvalidTokenError:
        return 'Invalid token'

# JWT认证装饰器
def token_required(f):
    @wraps(f)
    def decorated(*args, **kwargs):
        token = None
        # 从请求头中获取token
        if 'Authorization' in request.headers:
            auth_header = request.headers['Authorization']
            if auth_header.startswith('Bearer '):
                token = auth_header.split(' ')[1]
        
        if not token:
            return jsonify({'message': 'Token missing!'}), 401
        
        # 验证token
        data = decode_token(token)
        if isinstance(data, str):  # 如果返回的是错误信息
            return jsonify({'message': data}), 401
        
        # 将用户ID添加到请求中
        request.user_id = data['user_id']
        return f(*args, **kwargs)
    
    return decorated

# 登录接口 - 生成JWT
@app.route('/login', methods=['POST'])
def login():
    # 这里应该验证用户的用户名和密码
    # 为简化示例，直接生成token
    user_id = 123
    token = generate_token(user_id)
    return jsonify({'token': token})

# 受保护的资源接口
@app.route('/protected', methods=['GET'])
@token_required
def protected():
    return jsonify({'message': f'Protected resource accessed by user {request.user_id}'})

if __name__ == '__main__':
    app.run(debug=True)

下面是一个使用java-jwt库的JWT实现示例，包含生成和验证JWT的基本功能：

import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.exceptions.JWTVerificationException;
import com.auth0.jwt.interfaces.DecodedJWT;

import java.util.Date;

public class JwtExample {
    // 密钥，应妥善保管，不建议硬编码在代码中
    private static final String SECRET = "your-256-bit-secret";
    // 发行人
    private static final String ISSUER = "example.com";
    // 过期时间（毫秒），这里设置为1小时
    private static final long EXPIRATION_TIME = 1000 * 60 * 60;

    public static void main(String[] args) {
        // 生成JWT
        String token = generateToken("user123");
        System.out.println("生成的JWT: " + token);

        // 验证JWT
        try {
            DecodedJWT decodedJWT = verifyToken(token);
            System.out.println("验证成功！");
            System.out.println("用户ID: " + decodedJWT.getSubject());
            System.out.println("发行人: " + decodedJWT.getIssuer());
            System.out.println("签发时间: " + decodedJWT.getIssuedAt());
            System.out.println("过期时间: " + decodedJWT.getExpiresAt());
        } catch (JWTVerificationException e) {
            System.out.println("验证失败: " + e.getMessage());
        }
    }

    /**
     * 生成JWT
     * @param userId 用户ID
     * @return JWT字符串
     */
    public static String generateToken(String userId) {
        try {
            Algorithm algorithm = Algorithm.HMAC256(SECRET);
            return JWT.create()
                    .withIssuer(ISSUER)
                    .withSubject(userId)
                    .withIssuedAt(new Date())
                    .withExpiresAt(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
                    .sign(algorithm);
        } catch (Exception e) {
            System.out.println("生成JWT失败: " + e.getMessage());
            return null;
        }
    }

    /**
     * 验证JWT
     * @param token JWT字符串
     * @return 解码后的JWT
     * @throws JWTVerificationException 验证失败时抛出异常
     */
    public static DecodedJWT verifyToken(String token) throws JWTVerificationException {
        Algorithm algorithm = Algorithm.HMAC256(SECRET);
        JWTVerifier verifier = JWT.require(algorithm)
                .withIssuer(ISSUER)
                .build();
        return verifier.verify(token);
    }
}

使用说明：

  1. 需要添加java-jwt依赖（Maven坐标）：
<dependency>
    <groupId>com.auth0</groupId>
    <artifactId>java-jwt</artifactId>
    <version>4.4.0</version>
</dependency>
  1. 代码功能说明：
  • generateToken方法：创建包含用户ID的JWT，设置发行人、签发时间和过期时间
  • verifyToken方法：验证JWT签名和声明字段的有效性
  • main方法：演示生成和验证流程
  1. 注意事项：
  • 密钥SECRET应存储在安全位置，如环境变量或配置文件
  • 实际应用中建议添加更多声明字段（如角色、权限）
  • 过期时间可根据业务需求调整
  • 可根据需要添加自定义签名算法和声明验证逻辑

五、使用JWT需要注意的问题

  1. 安全存储JWT：

    • 避免将JWT存储在localStorage中，因为容易受到XSS攻击。
    • 考虑使用HttpOnly Cookie存储JWT，防止脚本访问。
    • 对于SPA应用，可考虑使用短期JWT配合刷新令牌（Refresh Token）。

  2. 防止CSRF攻击：

    • 如果使用Cookie存储JWT，需采取措施防止CSRF攻击，如使用SameSite属性。

  3. 签名密钥安全：

    • 确保签名密钥不泄露，特别是使用HMAC算法时。
    • 考虑使用非对称加密（如RSA），公钥用于验证签名，私钥安全存储在服务器端。

  4. 令牌过期策略：

    • 设置合理的过期时间，平衡安全性和用户体验。
    • 考虑实现刷新令牌机制，减少用户重新登录的频率。

  5. 避免在JWT中存储敏感信息：

    • 虽然JWT是加密的，但不是不可解密的，不要在JWT中存储敏感信息（如密码）。

  6. 验证完整性：

    • 始终验证JWT的签名和有效期。
    • 检查JWT中的声明（如iss、aud、exp等）是否符合预期。

  7. 注销处理：

    • JWT是无状态的，无法直接注销。可实现黑名单机制或缩短令牌有效期。

  8. 性能考虑：

    • JWT可能会比较大，特别是包含大量声明时，注意避免影响网络性能。

  9. 防范重放攻击：

    • 考虑在JWT中添加唯一标识符（jti），并结合服务器端的黑名单机制。

  10. 更新权限问题：

    • JWT在生成后权限信息就固定了，如需动态更新权限，需重新生成JWT或采用其他机制。

通过合理使用JWT并注意上述问题，可以构建安全、高效的身份验证和授权系统。

JWT - 令牌认证（认证流程和原理、Jwt 工具类、搭配 Redis 使用）
CYK_byte的博客
10-13 2万+
1. 首先前端将用户名和密码发送给后端，后端对用户名和密码校验成功后，会将用户 id 和其他信息作为 payload ，然后将其分别进行 Base64 编码，拼接，最后再签名，形成一个 JWT（Token）. 形成的 JWT 就形同 xxx.yyy.zzz 这种结构的字符串.http 协议是一种无状态的协议，也就意味着当用户第一次通过用户名和密码登录成功以后，下一次再请求的时候，用户还需要再进行登录才行，因为根据 http 协议，我们不能知道是哪个用户发出的请求.
JWT（JSON Web Tokens）入门与Java实践
weixin_61034310的博客
01-03 1682
JSON Web Tokens（JWT）是一种开放标准（RFC 7519），它定义了一种紧凑且自包含的方式，用于在网络之间安全地传输信息。本文介绍了JWT的基本概念、组成和工作流程，并提供了Java中使用JWT的示例代码。通过生成和验证JWT，你可以在Web应用中实现安全的身份验证和授权。在使用JWT时，请务必注意安全性考虑，并采取适当的措施来保护系统的安全。JWT由三部分组成：Header（头部）、Payload（负载）和Signature（签名），这三部分通过点（.）分隔。首先，你需要在项目的。
Java JWT安全漏洞剖析（你不知道的Token风险与防护策略）
FuncIsle的博客
10-22 828
深入解析Java JWT生成验证中的安全风险与防护策略，帮助开发者规避常见漏洞。涵盖JWT在Web鉴权中的典型应用场景、签名验证机制及关键防御手段，提升系统安全性，值得收藏。
Java中JWT技术解析与实践：安全高效的身份认证
weixin_41245021的博客
07-26 3409
身份认证与授权是现代Web应用中至关重要的安全机制。JSON Web Token（JWT）作为一种轻量级的身份验证方案，已经成为Java开发中广泛使用的解决方案。本篇博客将深入解析JWT技术，探讨其在Java应用中的实践与应用。我们将了解JWT的基本原理，以及它如何实现安全高效的身份认证和授权。通过使用JWT，我们可以在无状态的分布式系统中实现简单且可扩展的用户身份验证，不再依赖传统的Session和Cookie。我们还将探讨如何在Java中集成JWT，以及如何将其应用于实际项目中。让我们一起深入探索JWT
什么是 JWT？如何使用JWT进行用户身份验证？
最新发布
m0_63819687的博客
11-12 1359
JWT（JSON Web Token）是一种用于身份验证和授权的轻量级令牌技术，采用"Header.Payload.Signature"三段式结构。它通过JSON格式编码用户信息，支持签名验证确保数据完整性，具有无状态、自包含、跨平台等优势。核心工作流程包括令牌签发、客户端存储、请求携带和服务器验证。JWT适用于前后端分离、微服务架构等场景，但需注意密钥安全、敏感信息保护和令牌有效期设置。在实际开发中，通常配合短期访问令牌和长期刷新令牌使用.
JWT(java web Token)
01-22
token 去访问实现了jwt认证的web服务器。 token 可保存自定义信息，如用户基本信息， web服务器用解析token，解决跨域授权的问题
Java实现JWT的Token认证机制
m0_75011249的博客
05-03 1316
我们刚才的例子只是存储了id和subject两个信息，如果你想存储更多的信息（例如角色）可以定义自定义claims//为了方便测试，我们将过期时间设置为1分钟//当前时间//过期时间为1分钟.setSubject(“小白”)System.out.println(“签发时间:”+sdf.format(claims.getIssuedAt()));System.out.println(“过期时间:”+sdf.format(claims.getExpiration()));
基于SpringBoot终端商城系统JAVA.7z
09-27
在安全性方面，该商城系统应用了JWT（JSON Web Token）技术，这是一种用于双方之间安全传输信息的简洁的、URL安全的方法。它作为一个紧凑的、自包含的方式，使得信息可以在各方之间传递被验证和信任的信息。此外，...
开发问题记录(这部分还是比较零碎)
纸上得来终觉浅，绝知此事要躬行
11-10 3221
本人才疏学浅，以下内容是个人查看各种文章以及搜索资料所写出来的，所以如以下内容有不合适的地方，请及时纠正我，不吝赐教，本人在这不胜感激 前言 没有总结过这块的知识，因为平时这块也是接触不是很深，所以基本就是用的时候在去搜查找资料，时间一长一些东西也就记不住了，在此将一些以前学过的以及现在在补充学习的内容写出来，也是为了翻一下自己的旧账，以及去思考自己下一步去做什么。 在此也要提前说明，以下出现的参考文章没有任何打广告的嫌疑，只不过是自己当时看的文章。 一、中间件 1.中间件是什么？ 维基百科 中间件.
基于AndroidStudio的校园快递代拿App设计与实现
前端部分由两大部分构成：一是基于Android原生开发的移动端App，使用Android Studio 2021作为集成开发环境，结合Java或Kotlin语言完成UI布局、网络请求、权限控制、数据绑定等操作；二是基于Vue.js框架和ElementUI...
Teamcenter SOA服务调用全揭秘：彻底搞懂SOAP与REST的工业级应用差异
# Teamcenter SOA架构的工业演进：从SOAP到云原生API的全链路实践 在智能制造浪潮席卷全球的今天，产品生命周期管理（PLM）系统早已不再是图纸与BOM的电子化仓库。它正成为连接设计、工艺...但你是否想过，支撑这场工
java-jwt：JSON Web令牌（JWT）的Java实现
02-03
Java JWT Java实现 。 如果您正在寻找JWT Decoder的Android版本，请查看我们的库。 该库当前支持Java7。从不久开始，它将需要Java 8作为最低支持的Java版本。 有关其他信息和时间表，请参。 安装 该库在Maven Central和Bintray上均可用，并且Javadoc发布。 Maven < dependency> < groupId>com.auth0</ groupId> < artifactId>java-jwt</ artifactId> < version>3.12.1</ version> </ d
什么是JWT（JSON WEB TOKEN）
weixin_34280237的博客
11-18 353
转自于:http://www.jianshu.com/p/576dbf44b2ae 什么是JWT Json web token（JWT）是为了网络应用环境间传递声明而执行的一种基于JSON的开发标准（RFC 7519），该token被设计为紧凑且安全的，特别适用于分布式站点的单点登陆（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供...
JWT（Java Web Token）
从心初发
03-24 1097
文章目录1. JWT 产生背景1.1 传统基于服务的认证方式1.2 基于Token的身份认证2. JWT 简介2.1 JWT 是什么2.2 JWT 结构说明2.2.1 Header2.2.2 Payload2.2.3 Signature3. JWT 是如何工作的？4. 我们为什么要使用JSON Web令牌？5. 为什么有人不推荐使用 JWT？5.1 为什么不推荐使用JWT？5.2 如何解决JWT...
Java简单快速入门JWT（token生成与验证）
greatming666的博客
09-08 1万+
java jwt简单了解并快速上手
java使用jwt
Linlietao0587的博客
01-27 1898
在一个标准项目，拦截器或者过滤器一定不会少了。有了这些，那必须使用令牌验证了。这里讲解的是jwt 可以去看一下我上一篇文章，使用token和redis验证 1、JWT 1️⃣什么是jwt jwt 全称是 json web token 在网络应用环境声明而执行的一种基于json的开发标准 jwt应用分布式的当点托登录系统，身份提供者和服务者提供者传递认证用户信息 2️⃣jwt认证流程 用户输入用户密码进行登录 服务判断用户登录是否正确 -如正确，则颁发给用户一个token 客户端存token,在以.
java-jwt
qq_29799655的博客
05-15 1392
目录一. JWT 基础解释二. JWT Token 组成三. Java 与 JWT1. java-jwt2. jjwt-root三. 实际开发中 JWT 的使用 一. JWT 基础解释 先了解几个问题 JSON数据使用base64url编码,只对JSON数据是先扁平化处理再用64个可读无冲突字符来表达,没有加密效果 SHA256的摘要只是为JSON数据生成一个“指纹”,防止被篡改,属于完整性范畴,也无任何加密效果 摘要不等于签名,签名是用私钥加密摘要,默认情况下Token本身并没有任何加密机制,它依
jwt 原理
weixin_48334703的博客
10-05 2082
1.COOKIE使用和优缺点 1.1 cookie原理： 用户名+密码 cookie是保存在用户浏览器端，用户名和密码等明文信息 1.2 session使用原理 session是存储在服务器端的一段字符串,相当于字典的key 1.用户向服务器发送用户名和密码。 2.验证服务器后，相关数据（如用户角色，登录时间等）将保存在当前会话中。 3.服务器向用户返回session_id，session信息都会写入到用户的Cookie。 4.用户的每个后续请求都将通过在Cookie中取出session_id传给服务器
Java使用JWT
cxmengxin的博客
07-31 1万+
JWT 一、简介 1、JWT JWT为 Json Web Token，是一种令牌生成算法。使用JWT能够保证Token的安全性，且能够进行Token时效性的检验。 2、JWT结构 JWT共由三部分组成，分别是数据头(Header)、Payload(数据体)、验证签名(Verify Signature)组成。其中，Header中的内容为加密信息以及Token的类别，Payload为用户数据、Verify Signature为校验数据。 二、依赖 JWT需要两个依赖java-jwt、jjwt <depe
JWT的Java使用 (JJWT)
热门推荐
qq_37636695的博客
02-05 9万+
相信网络上面讲解JWT是什么，由什么组成的文章已经很多了，本文主要讲解JWT在Java中的使用，为了初次看到JWT的同学不会一脸懵逼，还是会说一下什么是JWT. 本文主要从以下几个方面说 什么是JWT和JWT的组成 为什么要使用JWT 在Java中如何使用JWT 1.什么是JWT Json web token (JWT), 是为了在网络应用
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值