Java常见面试题-14-JWT

JWT是什么？

JSON Web token 简称 JWT， 是用于对应用程序上的用户进行身份验证的标记。也就是说, 使用 JWT 的应用程序不再需要保存有关其用户的 cookie 或其他 session 数据。此特性便于可伸缩性, 同时保证应用程序的安全。

• 在身份验证过程中, 当用户使用其凭据成功登录时, 将返回 JSON Web token, 并且必须在本地保存 (通常在本地存储中)。
• 每当用户要访问受保护的路由或资源 (端点) 时, 用户代理(user agent)必须连同请求一起发送 JWT, 通常在授权标头中使用 Bearer schema。后端服务器接收到带有 JWT 的请求时, 首先要做的是验证 token。

JWT由什么组成？

一个 JWT 实际上就是一个字符串，它由三部分组成，头部、载荷与签名。

1. 头部（Header）
   头部用于描述关于该 JWT 的最基本的信息，例如其类型以及签名所用的算法等。这也可以被表示成一个 JSON 对象。

{"typ":"JWT","alg":"HS256"}

2. 载荷（playload）
   载荷就是存放有效信息的地方。这个名字像是特指飞机上承载的货品，这些有效信息包含三个部分：
   标准中注册的声明（建议但不强制使用）

   • iss: jwt 签发者
   • sub: jwt 所面向的用户
   • aud: 接收 jwt 的一方
   • exp: jwt 的过期时间，这个过期时间必须要大于签发时间
   • nbf: 定义在什么时间之前，该 jwt 都是不可用的.
   • iat: jwt 的签发时间
   • jti: jwt 的唯一身份标识，主要用来作为一次性 token

   公共的声明：</