JWT数据结构---加解密过程及其原理
JWT 构成和原理
构造很简单，一个完整 JWT。主要由三部分构成：
**header.payload.signature
为什么我这里每个部分都用 . 隔开呢，因为网络中真实传递的 JWT 真的是这种样子的。比如下面这种
**eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.XbPfbIHMI6arZ3Y922BhjWgQzWXcXNrz0ogtVhfEd2o
当然了，每个部分都经过了一些处理，才长了这么奇怪的样子。
header 主要是描述一下，我这个是什么类型的token，用了什么样的加密方法，如：
**{ "alg": "HS256", "typ": "JWT" }
payload 包含 claims (官方)，我的理解就是里面包含了一些身份信息，比如这个 JWT 的签发者，接受者，有效时间等等， 如：
**{ "sub": "1234567890", "name": "John Doe", "admin": true }
signature 这个是最为关键的一个部分，他用来确保前面的两项不会被他人篡改，假冒。
生成一个 JWT 的流程如下（服务端的角度）：
- 构建一个正常的 header A，写入一些信息，然后使用 base64 编码 header A 得到 header B
- 构建一个正常的 payload A，写入一些信息，然后使用 base64 编码 payload A 得到 payload B
- 选择一个加密算法，如 HS256，然后自定一个 secret，这个 secret 是他人都不知道的，只要本服务端保有
- 拼接 headerB 和 payloadB 为 headerB.payloadB，将其作为一个整体，使用 HS256 进行加密(secret 为密钥)，从而得到 signature A
- 把 signature A 用 base64 编码得到 signature B，所以最后的结果就是 headerB.payloadB.signatureB
至此，一个 JWT 就生成完成了。
那么在实际中，它是如何实现身份验证的呢。
首先客户端第一次登录，在确认无误后，服务端生成 JWT 发送到给客户端，客户端需要保存这个 token，之后的请求，如果是有身份要求的请求，就需要带上 JWT 发请求。
服务端这个时候接受到了客户端的请求和 JWT，首先对 JWT 三个部分 headerB，payloadB，signatureB 分别 base64 解码，得到 headerA，payloadA 和 signatureA，这样可以顺利的读取 headerA 和 payloadA 的信息。之前说到，一些用户的信息是放在 payloadA 中的，因此服务端以此暂时认定用户的身份，接着，服务端就要开始验证这个身份是不是有效的，正确的，无篡改的。
服务端通过 headerA 中包含的算法，或者自定的一种算法也行（只要和签发 JWT 时的算法一样就行），这里比如还是 HS256 算法，用该算法带密钥 secret 加密 headerB.payloadB，得到的结果和 signatureA 比较，只要不一样，说明 JWT 不合法，要么是伪造的，要么是篡改的。
这里的加密算法必须能够保证：通过同一个 secret 为密钥，加密 X 一定可以得到唯一的 Y。并且这种映射关系随着 secret 不同而不同。
如果 JWT 被篡改，由于他人不知道 secret，因此加密后的到的结果一定和 signatureA 不同（相同的概率几乎没有）
因此 JWT 非常适合用于身份认证，授权系统等
作者：allen_lin 链接：https://www.jianshu.com/p/76f18cb0c6fe 来源：简书 著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。