JSON Web Token(JWT)原理入門教學詳解

2022-04-16 16:00:14

一、跨域認證的問題

網際網路服務離不開使用者認證。一般流程是下面這樣。

1、使用者向伺服器傳送使用者名稱和密碼。

2、伺服器驗證通過後，在當前對話（session）裡面儲存相關資料，比如使用者角色、登入時間等等。

3、伺服器向用戶返回一個 session_id，寫入使用者的 Cookie。

4、使用者隨後的每一次請求，都會通過 Cookie，將 session_id 傳回伺服器。

5、伺服器收到 session_id，找到前期儲存的資料，由此得知使用者的身份。

這種模式的問題在於，擴充套件性（scaling）不好。單機當然沒有問題，如果是伺服器叢集，或者是跨域的服務導向架構，就要求 session 資料共用，每臺伺服器都能夠讀取 session。

舉例來說，A 網站和 B 網站是同一家公司的關聯服務。現在要求，使用者只要在其中一個網站登入，再存取另一個網站就會自動登入，請問怎麼實現？

一種解決方案是 session 資料持久化，寫入資料庫或別的持久層。各種服務收到請求後，都向持久層請求資料。這種方案的優點是架構清晰，缺點是工程量比較大。另外，持久層萬一掛了，就會單點失敗。

另一種方案是伺服器索性不儲存 session 資料了，所有資料都儲存在使用者端，每次請求都發回伺服器。JWT 就是這種方案的一個代表。

二、JWT 的原理

JWT 的原理是，伺服器認證以後，生成一個 JSON 物件，發回給使用者，就像下面這樣。

{
  "姓名": "張三",
  "角色": "管理員",
  "到期時間": "2018年7月1日0點0分"
}

以後，使用者與伺服器端通訊的時候，都要發回這個 JSON 物件。伺服器完全只靠這個物件認定使用者身份。為了防止使用者篡改資料，伺服器在生成這個物件的時候，會加上簽名（詳見後文）。

伺服器就不儲存任何 session 資料了，也就是說，伺服器變成無狀態了，從而比較容易實現擴充套件。

三、JWT 的資料結構

實際的 JWT 大概就像下面這樣。

它是一個很長的字串，中間用點（.）分隔成三個部分。注意，JWT 內部是沒有換行的，這裡只是為了便於展示，將它寫成了幾行。

JWT 的三個部分依次如下。

Header（頭部）

Payload（負載）

Signature（簽名）

寫成一行，就是下面的樣子。

下面依次介紹這三個部分。

3.1 Header

Header 部分是一個 JSON 物件，描述 JWT 的後設資料，通常是下面的樣子。

{
  "alg": "HS256",
  "typ": "JWT"
}

上面程式碼中，alg屬性表示簽名的演演算法（algorithm），預設是 HMAC SHA256（寫成 HS256）；typ屬性表示這個令牌（token）的型別（type），JWT 令牌統一寫為JWT。

最後，將上面的 JSON 物件使用 Base64URL 演演算法（詳見後文）轉成字串。

3.2 Payload

Payload 部分也是一個 JSON 物件，用來存放實際需要傳遞的資料。JWT 規定了7個官方欄位，供選用。

iss (issuer)：簽發人

exp (expiration time)：過期時間

sub (subject)：主題

aud (audience)：受眾

nbf (Not Before)：生效時間

iat (Issued At)：簽發時間

jti (JWT ID)：編號

除了官方欄位，你還可以在這個部分定義私有欄位，下面就是一個例子。

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}

注意，JWT 預設是不加密的，任何人都可以讀到，所以不要把祕密資訊放在這個部分。

這個 JSON 物件也要使用 Base64URL 演演算法轉成字串。

3.3 Signature

Signature 部分是對前兩部分的簽名，防止資料篡改。

首先，需要指定一個金鑰（secret）。這個金鑰只有伺服器才知道，不能洩露給使用者。然後，使用 Header 裡面指定的簽名演演算法（預設是 HMAC SHA256），按照下面的公式產生簽名。

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

算出簽名以後，把 Header、Payload、Signature 三個部分拼成一個字串，每個部分之間用"點"（.）分隔，就可以返回給使用者。

3.4 Base64URL

前面提到，Header 和 Payload 串型化的演演算法是 Base64URL。這個演演算法跟 Base64 演演算法基本類似，但有一些小的不同。

JWT 作為一個令牌（token），有些場合可能會放到 URL（比如 api.example.com/?token=xxx）。Base64 有三個字元+、/和=，在 URL 裡面有特殊含義，所以要被替換掉：=被省略、+替換成-，/替換成_ 。這就是 Base64URL 演演算法。