当前位置：首页 > news >正文

JWT的生成和工作原理

news 2024/12/25 3:24:41

深入了解 JWT（JSON Web Token）

在现代 Web 应用和分布式系统中，身份验证和授权是两个关键的部分。为了应对这些需求，JWT（JSON Web Token） 应运而生。它作为一种紧凑的、安全的、URL 安全的令牌格式，广泛应用于身份验证和信息交换中。本文将深入探讨 JWT 的结构、工作原理、优缺点以及常见的应用场景，帮助你更好地理解并运用 JWT。

什么是 JWT？

JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在各方之间以 JSON 对象的形式安全地传递信息。JWT 主要由三部分组成：

头部（Header）
载荷（Payload）
签名（Signature）

这些部分通过 Base64 URL 编码 后组合在一起，形成一个完整的 JWT Token，通常用于 身份验证 和 信息交换。

JWT 的结构

JWT 的结构是由三部分组成，并通过点（.）连接在一起：

<Header>.<Payload>.<Signature>

1. Header（头部）

头部通常包含两部分信息：

alg（算法）：指定签名使用的算法，比如 HMAC SHA256（HS256）或 RSA（RS256）。
typ（类型）：通常是 JWT，表示这是一个 JSON Web Token。

示例：

{"alg": "HS256","typ": "JWT"
}

编码后的 Header 部分会是：

eyJhbGciOiAiSFMyNTYiLCAidHlwIjogIkpXVCJ9

2. Payload（载荷）

Payload 部分包含 JWT 的 声明（Claims）。声明是关于实体（通常是用户）及其他数据的声明。JWT 有三种类型的声明：

注册声明（Registered Claims）：这些是 JWT 预定义的标准声明，如 sub（主题）、iat（签发时间）、exp（过期时间）、aud（受众）等。
公共声明（Public Claims）：可以自定义，避免与其他人冲突。
私有声明（Private Claims）：由使用者自定义，适用于在两方之间传递信息。

示例：

{"sub": "1234567890","name": "John Doe","iat": 1516239022
}

编码后的 Payload 部分会是：

eyJzdWIiOiAiMTIzNDU2Nzg5MCIsICJuYW1lIjogIkpvaG4gRG9lIiwgImlhdCI6IDE1MTYyMzkwMjJ9

3. Signature（签名）

签名用于确保消息的完整性，并验证发送者的身份。为了生成签名，你需要知道密钥，并选择一种签名算法（如 HMAC SHA256）。签名的生成过程如下：

将 Header 和 Payload 使用 Base64 URL 编码。
使用密钥和签名算法（如 HS256）对 Header 和 Payload 拼接的结果进行签名。

签名的计算公式：

HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload),secret)

示例签名：

f1f99fa2445973487d469b1b3e4b38c53a8c9c8fa55e3e08e52a970e9cfbce18

最终生成的完整 JWT 会是：

eyJhbGciOiAiSFMyNTYiLCAidHlwIjogIkpXVCJ9.eyJzdWIiOiAiMTIzNDU2Nzg5MCIsICJuYW1lIjogIkpvaG4gRG9lIiwgImlhdCI6IDE1MTYyMzkwMjJ9.f1f99fa2445973487d469b1b3e4b38c53a8c9c8fa55e3e08e52a970e9cfbce18

例子:

1. jwt生成


import jwt
import time# 定义头部信息
header = {"alg": "HS256","typ": "JWT"
}# 定义载荷信息（与提供的相同的时间戳等信息）
payload = {"username": "www.json.cn","sub": "demo","iat": 1735033926,  # 签发时间"nbf": 1735033926,  # 生效时间"exp": 1735120326  # 过期时间
}# 对称密钥
secret_key = "json.cn"# 生成JWT Token
encoded_jwt = jwt.encode(payload, secret_key, algorithm="HS256", headers=header)# 输出生成的JWT Token
print("Generated JWT Token:", encoded_jwt)# 如果需要验证JWT Token是否有效
decoded_jwt = jwt.decode(encoded_jwt, secret_key, algorithms=["HS256"])
print("Decoded JWT:", decoded_jwt)

2. 手动生成


import base64
import json
import hashlib
import hmac# 头部信息
header = {"alg": "HS256","typ": "JWT"
}# 载荷信息
payload = {"username": "www.json.cn","sub": "demo","iat": 1735035050,"nbf": 1735035050,"exp": 1735121450
}# 密钥
secret_key = "json.cn"# 生成 JWT
def encode_jwt(header, payload, secret_key):# Base64 URL 编码函数def base64_url_encode(data):return base64.urlsafe_b64encode(data).rstrip(b'=')# 将头部和载荷转换为 JSON 字符串header_json = json.dumps(header, separators=(',', ':')).encode('utf-8')payload_json = json.dumps(payload, separators=(',', ':')).encode('utf-8')# Base64 URL 编码头部和载荷header_b64 = base64_url_encode(header_json)payload_b64 = base64_url_encode(payload_json)# 创建签名message = header_b64 + b"." + payload_b64signature = hmac.new(secret_key.encode('utf-8'), message, hashlib.sha256).digest()# Base64 URL 编码签名signature_b64 = base64_url_encode(signature)# 拼接最终的 JWTjwt_token = header_b64 + b"." + payload_b64 + b"." + signature_b64return jwt_token.decode('utf-8')# 生成 JWT Token
jwt_token = encode_jwt(header, payload, secret_key)print(jwt_token)