4. JWT Payload 详解：注册声明、公共声明与私有声明

JWT 的 Payload（载荷）是令牌中承载实际数据的部分，其结构是一个 Base64Url 编码的 JSON 对象。根据 RFC 7519 规范，Payload 中的声明（Claim）被划分为三类：注册声明（Registered Claims）、公共声明（Public Claims） 和 私有声明（Private Claims）。理解这三类声明的边界与用途，是构建安全、可互操作 JWT 系统的基础。

4.1 注册声明（Registered Claims）

注册声明是 RFC 7519 预定义的一组标准化声明名称，用于提供通用的、可互操作的语义。它们并非强制使用，但强烈建议在适用场景下采用，以提升跨系统的兼容性。以下是七个核心注册声明：

4.2 公共声明（Public Claims）

公共声明是由 IANA JSON Web Token Claims Registry 注册的声明名称，或使用 Collision-Resistant Namespace（抗冲突命名空间）定义的声明。它们用于在开放生态中共享标准化的业务语义，避免不同系统间的命名冲突。

• IANA 注册声明： 例如 name、email、picture、email_verified 等。这些声明由 IANA 维护，任何系统都可以引用，具有明确的语义。
• 抗冲突命名空间： 使用 URI 或域名作为声明名称的前缀。例如："https://example.com/claims/role" 或 "com.example.tenant_id"。这种方式确保声明名称在全球范围内唯一。

4.3 私有声明（Private Claims）

私有声明是 JWT 签发方和验证方之间私下约定的声明名称。它们不经过 IANA 注册，也不使用命名空间。私有声明适用于内部系统、微服务间通信或特定业务场景。

• 使用场景： 内部用户角色、权限标识、会话 ID、租户 ID、请求追踪 ID 等。
• 风险： 命名冲突。如果两个不同的内部系统使用了相同的私有声明名称但语义不同，可能导致安全漏洞或逻辑错误。
• 缓解措施： 在团队或组织内部建立声明命名规范，例如统一前缀（如 app_、svc_）。

// 示例：包含三类声明的 JWT Payload
{
  // 注册声明
  "iss": "https://auth.example.com",
  "sub": "user_789012",
  "aud": ["api-gateway", "order-service"],
  "exp": 1735689600,
  "nbf": 1735603200,
  "iat": 1735600000,
  "jti": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",

  // 公共声明（IANA 注册）
  "name": "张三",
  "email": "zhangsan@example.com",
  "email_verified": true,

  // 私有声明（内部约定）
  "app_role": "admin",
  "app_tenant_id": "tenant_42",
  "app_session_id": "sess_abc123"
}

4.4 三类声明的对比与选择

4.5 Payload 安全设计原则

1. 最小化原则： Payload 只包含验证和授权所必需的声明。避免携带大量业务数据，以减少令牌体积和泄露风险。
2. 敏感数据保护： 密码、密钥、完整身份证号等敏感信息严禁放入 Payload。如需传递，使用 JWE 加密整个 JWT 或对敏感字段单独加密。
3. 声明验证： 服务端必须对 iss、aud、exp、nbf 等关键声明进行严格校验。忽略这些校验是 JWT 安全漏洞的常见来源。
4. 声明命名规范： 私有声明使用统一前缀（如 app_、svc_），公共声明优先使用 IANA 注册名称或 URI 命名空间。
5. 时间戳精度： 使用 NumericDate（秒级 Unix 时间戳），避免使用字符串格式的时间，以减少解析歧义。