3. JWT Header 详解：类型声明与签名算法

JWT（JSON Web Token）的 Header（头部）是令牌的第一部分，承载着令牌的元数据。它通常由两个核心字段组成：typ（类型声明）和 alg（签名算法）。Header 最终会经过 Base64URL 编码，成为 JWT 的第一段字符串。

3.1 Header 结构概览

一个标准的 JWT Header 是一个 JSON 对象，示例如下：

{
  "typ": "JWT",
  "alg": "HS256"
}

该 JSON 对象经过 Base64URL 编码后，形如：eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9。

3.2 typ 类型声明

typ（Type）字段用于声明令牌的媒体类型。在 JWT 规范中，该字段的值通常固定为 JWT，表示这是一个 JSON Web Token。

3.3 alg 签名算法详解

alg（Algorithm）字段指定了用于签名或加密 JWT 的算法。这是 Header 中最重要的字段，直接决定了令牌的安全性和性能。SaaS 系统中常用的算法分为两类：对称算法和非对称算法。

3.3.1 HS256（HMAC with SHA-256）

• 类型：对称签名算法
• 密钥：使用同一个密钥进行签名和验证
• 性能：计算速度快，适合高并发场景
• 适用场景：单体应用、内部服务间通信、信任域内的微服务
• 安全风险：密钥泄露会导致整个系统被伪造令牌攻击

3.3.2 RS256（RSA with SHA-256）

• 类型：非对称签名算法
• 密钥对：使用私钥签名，公钥验证
• 性能：签名速度较慢，验证速度较快
• 适用场景：分布式系统、第三方应用授权、跨信任域通信
• 安全优势：私钥仅由签发方持有，公钥可安全分发

3.4 Header 的 Base64URL 编码

JWT Header 在传输前必须进行 Base64URL 编码。Base64URL 是标准 Base64 的变体，专门为 URL 安全而设计。

3.4.1 编码规则

1. 将 JSON 对象序列化为字符串
2. 使用 Base64 编码
3. 将 + 替换为 -
4. 将 / 替换为 _
5. 去除末尾的 =（填充字符）

3.4.2 编码示例

// 原始 JSON
{"typ":"JWT","alg":"HS256"}

// 标准 Base64
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

// Base64URL（无变化，因为不含 + 和 /）
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

3.5 JWT Header 结构图

下图展示了 JWT Header 的组成、编码过程及其在完整 JWT 中的位置：

3.6 常见算法标识符速查表

3.7 代码示例：Header 生成与编码

以下 Node.js 代码演示了如何生成 JWT Header 并进行 Base64URL 编码：

const crypto = require('crypto');

// 1. 构建 Header JSON
const header = {
  typ: 'JWT',
  alg: 'HS256'
};

// 2. 序列化为字符串
const headerStr = JSON.stringify(header);

// 3. Base64URL 编码
function base64urlEncode(str) {
  return Buffer.from(str)
    .toString('base64')
    .replace(/\+/g, '-')
    .replace(/\//g, '_')
    .replace(/=+$/, '');
}

const encodedHeader = base64urlEncode(headerStr);
console.log('Encoded Header:', encodedHeader);
// 输出: eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9