认识JWT

最新推荐文章于 2025-06-18 19:56:24 发布

南乡子_

最新推荐文章于 2025-06-18 19:56:24 发布

阅读量363

点赞数

CC 4.0 BY-SA版权

分类专栏： PHP web安全

本文链接：https://blog.youkuaiyun.com/llllllloooooo/article/details/81779775

PHP 同时被 2 个专栏收录

12 篇文章

订阅专栏

web安全

4 篇文章

订阅专栏

本文详细介绍了JWT(JSON Web Token)的概念、组成及工作原理，并探讨了其在实际应用中的优势、使用流程、刷新策略、黑名单管理和并发问题。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

使用 jwt 也有一段时间了，感觉还是蛮方便的。写一篇文章总结一下。

JWT 是什么

JWT（JSON Web Token）是一个字符串，我们在发起网络请求时，将其放在header或者url中，这样可以保证传递的数据被篡改时能被我们发现，保证安全性。基于token的身份验证可以替代传统的cookie+session身份验证方法。注意：只能防止被修改，不能防止被解码。也就是说不能在 jwt 中存放重要数据。

JWT组成

JWT 由3部分组成，用点号连接。

header.payload.signature
header：两个字段都是必须的，alg字段指定了生成signature的算法，默认值为 HS256,可以自己指定其他的加密算法。经过base64encode就可以得到 header。

{
"typ":"JWT",
"alg":"HS256"
}

playload ：官方说法,三个部分组成(Reserved claims，Public claims,Private claims)。是表明用户身份的数据，可以自己自定义字段，很灵活。经过json_encode和base64_encode就可得到payload。

 $token   = [
            #非必须。issuer 请求实体，可以是发起请求的用户的信息，也可是jwt的签发者。
            "iss"       => "http://example.org",
            #非必须。issued at。 token创建时间，unix时间戳格式
            "iat"       => $_SERVER['REQUEST_TIME'],
            #非必须。expire 指定token的生命周期。unix时间戳格式
            "exp"       => $_SERVER['REQUEST_TIME'] + 7200,
            #非必须。接收该JWT的一方。
            "aud"       => "http://example.com",
            #非必须。该JWT所面向的用户
            "sub"       => "jrocket@example.com",
            # 非必须。not before。如果当前时间在nbf里的时间之前，则Token不被接受；一般都会留一些余地，比如几分钟。
            "nbf"       => 1357000000,
            # 非必须。JWT ID。针对当前token的唯一标识
            "jti"       => '222we',
            # 自定义字段
            "GivenName" => "Jonny",
            # 自定义字段
            "name"   => "Rocket",
            # 自定义字段
            "Email"     => "jrocket@example.com",

        ];

signature：加上设置好的迷药秘钥，将 header和 payload使用 header 中指定的加密算法加密。

连起来就是 JWT 了

原理

最后一步签名的过程，实际上是对头部以及载荷内容进行签名。一般而言，加密算法对于不同的输入产生的输出总是不一样的。
所以，如果有人对头部以及载荷的内容解码之后进行修改，再进行编码的话，那么新的头部和载荷的签名和之前的签名就将是不一样的。而且，如果不知道服务器加密的时候用的密钥的话，得出来的签名也一定会是不一样的。