JWT（JSONWebToe）

概述

JSON Web Token (JWT) 是一种用于在各方之间安全地传输信息的开放标准（RFC 7519）。这些信息可以被验证和信任，因为它们是数字签名的。JWT 通常用于身份验证，授权，以及在微服务架构中安全地传递信息。JWT 本身不是一种安全协议，而是一种数据格式。它的安全性依赖于密钥的管理和使用。

JWT 的核心思想是将用户数据编码成一个 JSON 对象，然后使用密钥对其进行签名。签名确保了数据的完整性，防止数据被篡改。接收方可以使用相同的密钥验证签名，从而确认数据的真实性。

OAuth 2.0 和 OpenID Connect 等现代身份验证协议通常使用 JWT 作为其授权机制的一部分。JWT 的紧凑性使其易于在 Web 应用程序和移动应用程序之间传输。与传统的基于会话的身份验证方法相比，JWT 具有更好的可扩展性和性能。

主要特点

**紧凑性：** JWT 的大小相对较小，易于传输。
**自包含性：** JWT 包含所有必要的信息，无需查询数据库。这减少了服务器负载并提高了性能。
**安全性：** 使用数字签名确保了数据的完整性和真实性。
**跨平台性：** JWT 是一种开放标准，可以在各种编程语言和平台上使用。
**可扩展性：** JWT 可以包含自定义的声明，以满足不同的应用需求。
**无状态性：** 服务器不需要存储关于用户的会话信息，从而简化了部署和扩展。
**易于使用：** 许多编程语言和框架都提供了 JWT 相关的库和工具。
**适用场景广泛：** 适用于 Web 应用程序、移动应用程序、API 授权等多种场景。
**可撤销性：** 虽然 JWT 本身不能直接撤销，但可以通过使用黑名单或其他机制来实现撤销功能。
**基于标准：** 基于 IETF RFC 7519 标准，保证了互操作性和可靠性。

使用方法

JWT 的结构由三部分组成：头部 (Header)、载荷 (Payload) 和签名 (Signature)。这三部分用点 (.) 分隔。

1. **头部 (Header):** 头部包含关于 JWT 的信息，例如签名算法和 token 类型。它通常是一个 JSON 对象，例如：

   ```json
   {
     "alg": "HS256",
     "typ": "JWT"
   }
   ```

   然后，该 JSON 对象会被 Base64Url 编码。

2. **载荷 (Payload):** 载荷包含关于用户的声明 (Claims)。声明可以是公有声明、注册声明或自定义声明。

   *   **公有声明 (Public Claims):**  这些声明是预定义的，例如 `iss` (issuer, 发行者), `sub` (subject, 主题), `aud` (audience, 接收者), `exp` (expiration time, 过期时间), `nbf` (not before, 在此时间之前无效), `iat` (issued at, 签发时间), `jti` (JWT ID, JWT 唯一标识符)。
   *   **注册声明 (Registered Claims):** 这些声明是推荐使用的，但不是必需的。
   *   **自定义声明 (Private Claims):**  这些声明是用户自定义的，用于存储特定的应用程序数据。

   例如：

   ```json
   {
     "sub": "1234567890",
     "name": "John Doe",
     "admin": true,
     "iat": 1516239022
   }
   ```

   然后，该 JSON 对象也会被 Base64Url 编码。

3. **签名 (Signature):** 签名用于验证 JWT 的完整性和真实性。它通过将头部和载荷进行 Base64Url 编码，然后使用密钥和指定的签名算法（例如 HMAC SHA256 或 RSA）进行签名生成。

   签名过程如下：

   ```
   HMACSHA256(
     base64UrlEncode(header) + "." +
     base64UrlEncode(payload),
     secret
   )
   ```

   然后，签名也会被 Base64Url 编码。

   完整的 JWT 看起来像这样：

   `header.payload.signature`

- 示例代码 (Python):**

```python import jwt import datetime

密钥

secret = "your-secret-key"

头部

header = {"alg": "HS256", "typ": "JWT"}

载荷

payload = {

   "sub": "1234567890",
   "name": "John Doe",
   "admin": True,
   "exp": datetime.datetime.utcnow() + datetime.timedelta(minutes=30),  # 设置过期时间
   "iat": datetime.datetime.utcnow()

}

生成 JWT

encoded_jwt = jwt.encode(payload, secret, algorithm="HS256", headers=header)

print(encoded_jwt)

验证 JWT

try:

   decoded_payload = jwt.decode(encoded_jwt, secret, algorithms=["HS256"])
   print(decoded_payload)

except jwt.ExpiredSignatureError:

   print("Token 已过期")

except jwt.InvalidSignatureError:

   print("无效的签名")

except jwt.DecodeError:

   print("无效的 Token")

```

Base64Url编码是 JWT 中重要的编码方式，用于将头部和载荷转换为字符串格式。HMAC SHA256 和 RSA 是常用的签名算法，用于确保 JWT 的安全性。JSON 是 JWT 载荷使用的数据格式。签名验证是 JWT 安全性的关键步骤。

相关策略

JWT 可以与其他身份验证和授权策略结合使用，以提供更强大的安全性。

**OAuth 2.0:** JWT 可以用作 OAuth 2.0 授权服务器的访问令牌。这使得客户端可以安全地访问受保护的资源。OAuth 2.0 是一种广泛使用的授权框架。
**OpenID Connect:** JWT 可以用作 OpenID Connect 的 ID 令牌，用于验证用户的身份。OpenID Connect 是构建在 OAuth 2.0 之上的身份验证层。
**API 密钥:** JWT 可以用作 API 密钥，用于验证 API 请求的来源。
**双因素身份验证 (2FA):** JWT 可以与 2FA 结合使用，以提供额外的安全性。
**刷新令牌 (Refresh Tokens):** 可以使用刷新令牌来获取新的 JWT，而无需用户再次登录。
**黑名单/撤销列表:** 虽然 JWT 本身不能直接撤销，但可以通过维护一个黑名单来拒绝无效的 JWT。
**短过期时间 (Short Expiration Times):** 设置较短的 JWT 过期时间可以减少攻击窗口。
**强密钥管理 (Strong Key Management):** 安全地存储和管理密钥是保护 JWT 安全性的关键。密钥管理系统可以帮助安全地管理密钥。
**使用 HTTPS:** 确保所有 JWT 传输都通过 HTTPS 进行，以防止中间人攻击。
**输入验证:** 验证 JWT 中的声明，以确保它们符合预期的格式和值。
**速率限制 (Rate Limiting):** 限制 JWT 的请求频率，以防止滥用。
**内容安全策略 (CSP):** 使用 CSP 来防止跨站脚本攻击。内容安全策略是一种安全机制，用于控制浏览器可以加载的资源。
**JWT 存储位置：** 考虑 JWT 的存储位置，例如浏览器 Cookie 或本地存储，并权衡安全性和可用性。Cookie 和 LocalStorage 是常见的客户端存储选项。

JWT 声明类型
声明类型	描述	示例	公有声明	预定义的声明，用于标识 JWT 的发行者、主题、接收者等。	`iss: "example.com", sub: "user123"`	注册声明	推荐使用的声明，用于提供关于 JWT 的元数据。	`exp: 1678886400, iat: 1678882800`	自定义声明	用户自定义的声明，用于存储特定的应用程序数据。	`role: "admin", permission: "read_write"`	声明用途	描述声明的用途，例如身份验证、授权、信息传递等。	用于验证用户身份，授权访问资源	声明格式	声明的数据类型，例如字符串、数字、布尔值等。	字符串，数字，布尔值

JWT 最佳实践对于确保 JWT 的安全性至关重要。JWT 漏洞了解 JWT 的常见漏洞有助于预防攻击。

立即开始交易

注册IQ Option (最低入金 $10) 开设Pocket Option账户 (最低入金 $5)

加入我们的社区

关注我们的Telegram频道 @strategybin，获取： ✓ 每日交易信号 ✓ 独家策略分析 ✓ 市场趋势警报 ✓ 新手教学资料