【JWT】JWT+HA256加密 Token验证

r囧r小猫 2022-05-26 23:52 262阅读 0赞

## JWT+HA256验证 ##

实施 Token 验证的方法挺多的，还有一些标准方法，比如 JWT，读作：jot ，表示：JSON Web Tokens 。JWT 标准的 Token 有三个部分：

*  header
 *  payload
 *  signature

中间用点分隔开，并且都会使用 Base64 编码，所以真正的 Token 看起来像这样：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJuaW5naGFvLm5ldCIsImV4cCI6IjE0Mzg5NTU0NDUiLCJuYW1lIjoid2FuZ2hhbyIsImFkbWluIjp0cnVlfQ.SwyHTEx_RQppr97g4J5lKXtabJecpejuef8AqKYMAJc

Header

header 部分主要是两部分内容，一个是 Token 的类型，另一个是使用的算法，比如下面类型就是 JWT，使用的算法是 HS256。

上面的内容要用 Base64 的形式编码一下，所以就变成这样：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9

Payload

Payload 里面是 Token 的具体内容，这些内容里面有一些是标准字段，你也可以添加其它需要的内容。下面是标准字段：

iss：Issuer，发行者  
sub：Subject，主题  
aud：Audience，观众  
exp：Expiration time，过期时间  
nbf：Not before  
iat：Issued at，发行时间  
jti：JWT ID  
比如下面这个 Payload ，用到了 iss 发行人，还有 exp 过期时间。另外还有两个自定义的字段，一个是 name ，还有一个是 admin 。

<table> 
 <tbody> 
  <tr> 
   <td style="border-color:#c0c0c0;vertical-align:baseline;width:35px;"> 
    <div style="margin-left:0px;">
      1 
    </div> 
    <div style="margin-left:0px;">
      2 
    </div> 
    <div style="margin-left:0px;">
      3 
    </div> 
    <div style="margin-left:0px;">
      4 
    </div> 
    <div style="margin-left:0px;">
      5 
    </div> 
    <div style="margin-left:0px;">
      6 
    </div> 
    <div style="margin-left:0px;">
      7 
    </div> 
    <div style="margin-left:0px;">
      8 
    </div> 
    <div style="margin-left:0px;">
      9 
    </div> 
    <div style="margin-left:0px;">
      10 
    </div> 
    <div style="margin-left:0px;">
      11 
    </div> </td> 
   <td style="border-color:#c0c0c0;vertical-align:baseline;"> 
    <div style="margin-left:0px;"> 
     <div style="margin-left:0px;"> 
      <code>{ </code> 
     </div> 
     <div style="margin-left:0px;">
       &nbsp; 
     </div> 
     <div style="margin-left:0px;"> 
      <code>&nbsp;</code> 
      <code>"iss":&nbsp;"ninghao.net",</code> 
     </div> 
     <div style="margin-left:0px;">
       &nbsp; 
     </div> 
     <div style="margin-left:0px;"> 
      <code>&nbsp;</code> 
      <code>"exp":&nbsp;"1438955445",</code> 
     </div> 
     <div style="margin-left:0px;">
       &nbsp; 
     </div> 
     <div style="margin-left:0px;"> 
      <code>&nbsp;</code> 
      <code>"name":&nbsp;"wanghao",</code> 
     </div> 
     <div style="margin-left:0px;">
       &nbsp; 
     </div> 
     <div style="margin-left:0px;"> 
      <code>&nbsp;</code> 
      <code>"admin":&nbsp;true</code> 
     </div> 
     <div style="margin-left:0px;">
       &nbsp; 
     </div> 
     <div style="margin-left:0px;"> 
      <code>}</code> 
     </div> 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

使用 Base64 编码以后就变成了这个样子：

eyJpc3MiOiJuaW5naGFvLm5ldCIsImV4cCI6IjE0Mzg5NTU0NDUiLCJuYW1lIjoid2FuZ2hhbyIsImFkbWluIjp0cnVlfQ

Signature

JWT 的最后一部分是 Signature ，这部分内容有三个部分，先是用 Base64 编码的 header.payload ，再用加密算法加密一下，加密的时候要放进去一个 Secret ，这个相当于是一个密码，这个密码秘密地存储在服务端。

header  
payload  
secret

<table> 
 <tbody> 
  <tr> 
   <td style="border-color:#c0c0c0;vertical-align:baseline;width:35px;"> 
    <div style="margin-left:0px;">
      1 
    </div> 
    <div style="margin-left:0px;">
      2 
    </div> </td> 
   <td style="border-color:#c0c0c0;vertical-align:baseline;"> 
    <div style="margin-left:0px;"> 
     <div style="margin-left:0px;"> 
      <code>var&nbsp;encodedString&nbsp;=&nbsp;base64UrlEncode(header)&nbsp;+&nbsp;</code> 
      <code>"."</code>&nbsp; 
      <code>+&nbsp;base64UrlEncode(payload);&nbsp;</code> 
     </div> 
     <div style="margin-left:0px;"> 
      <code>HMACSHA256(encodedString,&nbsp;</code> 
      <code>'secret'</code> 
      <code>);</code> 
     </div> 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

处理完成以后看起来像这样：

SwyHTEx_RQppr97g4J5lKXtabJecpejuef8AqKYMAJc

最后这个在服务端生成并且要发送给客户端的 Token 看起来像这样：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJuaW5naGFvLm5ldCIsImV4cCI6IjE0Mzg5NTU0NDUiLCJuYW1lIjoid2FuZ2hhbyIsImFkbWluIjp0cnVlfQ.SwyHTEx_RQppr97g4J5lKXtabJecpejuef8AqKYMAJc

客户端收到这个 Token 以后把它存储下来，下回向服务端发送请求的时候就带着这个 Token 。服务端收到这个 Token ，然后进行验证，通过以后就会返回给客户端想要的资源。