2、JWT结构解析：Header头部、Payload载荷、Signature签名的组成与作用

JWT（JSON Web Token）是一种紧凑的、URL安全的令牌表示方式，其核心结构由三个独立的部分通过点号（.）连接而成。理解这三部分的组成与作用，是进行JWT契约校验的基础。

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

2.1 Header（头部）—— 算法与类型声明

Header是JWT的第一段，通常包含两个关键字段：令牌类型（typ）和签名算法（alg）。它告诉接收方如何解析和验证这个令牌。

// 典型的JWT Header示例
{
  "alg": "HS256",   // 使用HMAC-SHA256对称签名算法
  "typ": "JWT"      // 声明这是一个JWT令牌
}

2.2 Payload（载荷）—— 声明数据的载体

Payload是JWT的第二段，包含实际传递的声明（Claims）。声明是关于实体（通常是用户）和附加元数据的陈述。JWT规范定义了三种类型的声明：注册声明、公共声明和私有声明。

2.2.1 注册声明（Registered Claims）

这些是预定义的、非强制性的但推荐使用的声明，提供一组有用的、可互操作的声明名称。

2.2.2 公共声明与私有声明

• 公共声明（Public Claims）：在IANA JSON Web Token Claims注册表中定义的声明，或使用URI（统一资源标识符）作为名称以避免冲突。
• 私有声明（Private Claims）：由JWT的生产者和消费者之间协商的自定义声明，如角色、权限、用户昵称等业务数据。

// 一个包含多种声明的Payload示例
{
  "iss": "https://auth.example.com",   // 注册声明：签发者
  "sub": "user_123456",                // 注册声明：用户ID
  "aud": ["api.example.com"],          // 注册声明：接收方
  "exp": 1735689600,                   // 注册声明：过期时间
  "iat": 1735603200,                   // 注册声明：签发时间
  "role": "admin",                     // 私有声明：用户角色
  "permissions": ["read", "write"]     // 私有声明：权限列表
}

2.3 Signature（签名）—— 完整性与真实性的保障

Signature是JWT的第三段，通过对Header和Payload进行签名生成，用于验证令牌在传输过程中未被篡改，并确认其确实由预期的签发者生成。

签名的生成过程如下：

1. 将Header和Payload分别进行Base64URL编码。
2. 将编码后的Header和Payload用点号（.）连接，形成签名输入字符串。
3. 使用Header中指定的算法（alg）和密钥（secret或私钥）对输入字符串进行签名。
4. 将生成的签名进行Base64URL编码，作为JWT的第三段。

// 签名生成伪代码（以HMAC-SHA256为例）
signature = HMACSHA256(
  base64UrlEncode(header) + "." + base64UrlEncode(payload),
  secret_key
)

2.4 三段结构的协同作用

JWT的三段结构各自承担不同职责，共同保障令牌的安全传输：