一、JWT概念
json web token
二、JWT与原始token的区别
JWT是对原始security的oauth2 token的增强。
原始的token只是一个uuid，没有任何意义。
JWT包含了部分业务信息，减少了token验证等交互操作，效率更高。
三、JWT的特点
- 自包含：包含有意义的信息。但由于其信息能被公开看到，所以jwt并不能放特别敏感的业务信息。
- 含有签名：防止jwt自身被修改
- 可扩展：可自定信息
三、JWT的签名
JWT是如何做到防止内容被篡改？ 答案就是数字签名。
JWT内容是由三部分组成：Header、PayLoad、Signature。
Header里存的是：token类型和加密算法，此处的加密算法是签名的加密算法
PayLoad里面存的是：具体的业务数据比如用户id等等
Signature：具体的数字签名密文信息
举个例子，jwt内容如下：
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWUsImp0aSI6IjMyMWU1MzlmLTJmY2MtNDcwNy05YWMyLTI1ZmY5MTkzZTI4ZiIsImlhdCI6MTU3MTc5ODgwNiwiZXhwIjoxNTcxODAyNDA2fQ.3pNLP8HvSu5hKFATOeJIR1Tpo5hxDB4Pcz6mK1lsTFU
其内容由三个“.”隔开，由base64编码，分别对应的就是header、payload、signature。
通常我们使用jwt时候采用RS256 私钥/公钥 方式进行签名的 加密/解密，因为RS256是非对称加密，比较安全。
因为jwt是由服务端生成并发放的，其中签名是由服务端的私钥加密而成的，只要保证了私钥的安全，就能保证签名是安全的。
当别人拿着jwt访问我们的服务时，可以有两种验证方式：
（1）我们服务端拿到header和payload的信息，通过header里的加密算法拿着我们自己的私钥对payload生成一个签名对比jwt传过来的签名，如果签名一致，说明payload的信息没有被修改。
（2）我们利用公钥对签名解密，解密出来的header和payload的信息是否和传过来的一致。
-------------------------------------------------------------------------------------------------------------------------------
以上为我的理解，以后接着补充，如有错误，欢迎指正。
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)
