3. JWT核心概念

3.1 JWT定义

JWT（JSON Web Token） 是一种基于 JSON 的开放标准（RFC 7519），用于在各方之间以紧凑且自包含的方式安全地传输信息。JWT 通常用于身份认证和信息交换场景，其核心特点是：

• 紧凑（Compact）：JWT 体积小，可通过 URL、POST 参数或 HTTP Header 快速传输。
• 自包含（Self-contained）：JWT 本身携带了用户身份、权限等声明信息，无需频繁查询数据库。
• 防篡改（Tamper-proof）：JWT 通过签名机制保证内容在传输过程中未被篡改。

3.2 JWT结构

一个完整的 JWT 由三个部分组成，以点号（.）分隔：

xxxxx.yyyyy.zzzzz
│     │     │
│     │     └── Signature（签名）
│     └──────── Payload（载荷）
└───────────── Header（头部）

3.2.1 Header（头部）

Header 通常包含两部分信息：令牌类型（typ）和签名算法（alg）。

{
  "alg": "HS256",
  "typ": "JWT"
}

3.2.2 Payload（载荷）

Payload 是 JWT 的主体，包含声明（Claims）。声明分为三类：

• 注册声明（Registered Claims）：预定义的标准字段，如 iss（签发者）、sub（主题）、exp（过期时间）、iat（签发时间）。
• 公共声明（Public Claims）：自定义字段，需在 IANA JSON Web Token Registry 注册或使用防冲突命名。
• 私有声明（Private Claims）：双方约定的自定义字段，如 user_id、role。

{
  "sub": "1234567890",
  "name": "张三",
  "role": "admin",
  "iat": 1516239022,
  "exp": 1516242622
}

3.2.3 Signature（签名）

Signature 是对 Header 和 Payload 的签名，用于验证消息在传输过程中未被篡改。生成过程如下：

HMACSHA256(
  base64UrlEncode(header) + "." + base64UrlEncode(payload),
  secret
)

签名使用 Header 中指定的算法（如 HS256）和密钥（secret）对前两部分进行加密。接收方使用相同的密钥和算法重新计算签名，比对是否一致。

3.3 JWT工作原理

JWT 的工作流程分为签发、传输和验证三个阶段。下图展示了完整的交互过程：

3.4 JWT 验证流程详解

服务器在收到 JWT 后，按以下步骤进行验证：

1. 解析令牌：以点号（.）分割 JWT，获取 Header、Payload 和 Signature。
2. Base64URL 解码 Header：读取 alg 字段，确定签名算法。
3. 重新计算签名：使用服务器密钥和指定算法，对 base64UrlEncode(header) + "." + base64UrlEncode(payload) 重新签名。
4. 比对签名：将重新计算的签名与 JWT 中的 Signature 进行比对。一致则通过，否则拒绝。
5. 验证声明：检查 exp（是否过期）、nbf（是否生效）、iss（签发者是否可信）等。

3.5 JWT 与 Session 对比