JWT的原理及实战

原理讲解

一、JWT组成

1：Header：包含原数据（比如 alg 指定签名所使用的加密算法， 如 HS256 或 RS256）和typ（一般是 JWT），使用 Base64编码。

      Header经过Base64编码后的样子，才是JWT里真正的header。

      ——> Eg: 对Header进行编码：base64UrlEncode(header)，得到encodedHeader。而最终的JWT里的header部分，就是encodedHeader。

2：Payload：包含实际的数据信息，比如 userId、username 或 exp(指定JWT过期时间) 其他自定义信息。使用Base64编码。

注意：Payload一般包括本次登录后会用到的大部分有效信息（JWT过期时间，用户权限.....）。但不能包括用户隐私信息，例如密码。因为Payload部分只是使用了Base64编码，不会进行加密。

PS：Payload中的exp，存储的不是持续时长，而是直接存储过期时间点。

      Payload经过Base64编码后的样子，才是JWT里真正的payload。

      ——> Eg: 对Payload进行编码：base64UrlEncode(Payload)，得到encodedPayload。而最终的JWT里的payload部分，就是encodedPay