3. JWT Header 详解：typ 类型、alg 算法声明、常见算法标识符

JWT 的 Header（头部）是令牌的第一部分，通常由两个核心字段组成：typ（Token 类型）和 alg（签名算法）。Header 以 JSON 对象形式存在，经过 Base64URL 编码后成为 JWT 的第一段。理解 Header 的结构与算法标识符，是进行 JWT 契约校验的基础。

3.1 Header 标准结构

一个典型的 JWT Header 如下所示：

{
  "alg": "HS256",
  "typ": "JWT"
}

该 JSON 经过 Base64URL 编码后，形如：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9。解码后即可还原为原始声明。

3.2 typ 字段：Token 类型

typ（Type）用于声明令牌的媒体类型，帮助解析器识别这是一个 JWT。虽然该字段在大多数场景下是固定的，但契约校验中仍需确认其值是否符合预期。

3.3 alg 字段：签名算法声明

alg（Algorithm）是 Header 中最重要的字段，它声明了用于签名或加密的算法。服务端必须根据 alg 的值选择对应的验证方式。如果 alg 与预期不符，将直接导致签名验证失败或安全漏洞。

常见算法标识符分为三类：

• HMAC 对称算法：使用同一个密钥进行签名和验证。
• RSA 非对称算法：使用私钥签名，公钥验证。
• ECDSA 椭圆曲线算法：基于椭圆曲线的非对称算法，密钥更短，性能更高。

3.4 常见算法标识符速查表

3.5 Header 算法选择与契约校验流程

下图展示了在契约校验中，服务端如何根据 Header 中的 alg 字段进行算法验证与签名校验的决策流程：

3.6 契约校验中的 Header 检查清单

在 JWT 契约校验中，对 Header 的检查应至少包含以下步骤：

1. 格式检查：确认 Header 是合法的 JSON 对象，且 Base64URL 解码无异常。
2. typ 字段检查：确认 typ 存在且值为 "JWT"（或契约约定的其他值）。
3. alg 字段存在性检查：确认 alg 字段存在且不为空。
4. alg 白名单检查：确认 alg 值在服务端预定义的允许算法列表中。
5. alg 类型一致性检查：确认算法类型（对称/非对称）与密钥类型匹配，防止算法混淆。
6. none 算法拒绝：除非是调试环境且契约明确允许，否则必须拒绝 alg: "none"。