聊一聊JWT

左手的ㄟ右手 2022-12-22 06:21 289阅读 0赞

# **前言** #

看客们对于JWT，我估计大部分都是很熟悉的了。 但是不乏也存在初学者刚接触JWT，那么咱们走个流程，我先简单的在前言里介绍下JWT，因为该篇文章目的不是做JWT的使用介绍。

## 简单了解JWT ##

简单来讲，可以把JWT当作是一个写好的生成token令牌（字符串）的方法，使用JWT，就会生成 一个token 字符串。

说白了，就是一个签名的生成规则算法。

JWT生成的token示例：

> eyJhbGciOiJIUzUxMiJ9.eyJ1c2VySWQiOiIxMDAxIiwiaXNzIjoiSkNjY2MiLCJpYXQiOjE2MDU2Nzg0MTd9.5f8JwZoi1okX1mEmWDOt6YsZXrxtle52PsjZ92F2I0KBlOG3XRtoL9Tfx0TjQGdwbHzYhV\_uz7aNDF0E\_I1FPw

咋一看感觉，很长很乱，加密得非常复杂。

那么我们加点颜色再看看：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1Mzg3OTQw_size_16_color_FFFFFF_t_70][]

没错，每一段不同颜色的字符串之间 可以看到，使用了符号** ’ . ‘  **进行了拼接。  一共三段字符串分别是 header 、payload、signature，组成了 所谓的 token令牌。

header  :  存储着该令牌使用的加密算法标识信息

payload  ：存储着 我们放进令牌里面的数据信息

signature ：签名

最后再简单看一张图：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1Mzg3OTQw_size_16_color_FFFFFF_t_70 1][]

大家从图中可以看到我们很熟悉的   base64   ， 大家明白 base64 不是一种加密算法， 而仅是一种编码转换方式而已。

也就是说，header 和 payload 这两部分 是可以随意解码的。

就以目前这个token令牌字符串来看，我们解码看看：

*ps： 所以到这你能明白所谓的token为什么我说当作一个签名的生成的规则算法看待就行了。*

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1Mzg3OTQw_size_16_color_FFFFFF_t_70 2][]

# **正文** #

前面介绍太啰嗦了，该篇其实并不是个JWT使用普及文章，是想埋怨一下 注意点。

# ** ① 让 JWT-TOKEN 当场失效：**     #

**1. 账号注销/登录注销**

用户在客户端登录了账号，请求授权， 拿到了 JWT-TOKEN 。

用户选择注销登录（或者账号被注销），那么讲道理其实之前的JWT-TOKEN 应该是无效的了。

**2.修改密码**

用户在客户端登录了账号，请求授权， 拿到了 JWT-TOKEN 。

用户修改了密码，那么讲道理其实之前的JWT-TOKEN 应该是无效的。

**3.修改资源权限信息**

有些情形我们会选择在JWT-TOKEN 使用自定义Claims，在Claims里面放入 role（角色），permission（权限）等数据。

用户的 role（角色），permission（权限） 一旦被修改， 那么讲道理其实之前的JWT-TOKEN 应该是无效的了。

类似上面举例的这种情形，

JWT是无法提供这种售后服务的， 没有办法直接指定某个JWT-TOKEN  ，使其当场失效。

那么也就是说，如果这个JWT-TOKEN  被人拎出来，在有效期内去使用，那么这个令牌就还是有用的。

## 所以对于这种场景我们的方案是： ##

使用  redis 去缓存 授权颁发的JWT-TOKEN ， 通过在redis 中去管理 是否删除（失效）JWT-TOKEN 。

### **可是这么一来，其实也就不是 所谓的无状态了。** ###

因为原本很多人选择使用token，就是想脱离session 这种服务有状态的模式。想让前端自己保存token，后端不需要花费精力去管理。一旦加入redis，其实可以理解为又回到了原点。

只是说在一个方面上直接避免了session的一些问题。

## **②延长token时间、刷新token：** ##

token快过期了或者过期了，我想刷新续签一下。让这个token 再次获得生命！

**JWT只会给你一个新的token。**

需要我们自己去合理选择刷新token与客户端协作的方案，无感知刷新、新旧token交替等等。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1Mzg3OTQw_size_16_color_FFFFFF_t_70]: /images/20221120/0e40884a83a2455783e76db0ad823622.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1Mzg3OTQw_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20201118144131174.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1Mzg3OTQw,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1Mzg3OTQw_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20201118143032278.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1Mzg3OTQw,size_16,color_FFFFFF,t_70