标签：asc rc4 pex scl hsf tab pod 一个 S4B
JWT是JSON Web Tokens的缩写。既然叫JSON Web Tokens，所以JWT Tokens中真正包含的是多个JSON对象。为什么是多个JSON对象呢？因为SWT Token实际上是由三部分组成，其中有两部分是JSON格式。这三部分即头（Header）、负载数据（Payload）、签名（Signature）。
1、信息头（Header）
头信息包含两部分，一部分表示Token的类型，对于JWT来说，值为JWT；另一部分表示签名算法，如，HMAC、SHA256、RSA。示例如下：
2、负载信息（Payload）
3、签名（Signature）
通过指定的算法将头、负载、密码信息作为输入条件，计算而得的一个字符串。
这三部分信息不是原文传输的。在传输以前，先要进行转码压缩。这样做一是为了使传输的token数据体积小，减少数据传输的负担，二是为了使数据更安全。JWT Token一般可以采用HMAC算法使用密码进行转码压缩，或采用RSA或ECDSA使用公钥/私钥对进行转码。这两种算法均具有数字签名的作用，从而能够保证数据的完整性，防止数据被第三方篡改。
JSON格式的头信息和负载信息一般先要进行Base64编码转化。然后通过以下的算法获得签名：
假定头信息Base64编码转化后的字符用h表示，Base64编码转化后的负载数据信息用p表示，签名值用s表示，则JWT Token显示为一串用逗号分隔的字符串，一般有如下的形式：
hhhhh.ppppp.sssss
JWT最常用的应用场景是为用户授权。用户在登录时，从授权服务器拿到JWT Token，后续的用户请求只要携带此Token请求相应的资源或服务即可。服务端会在拿到用户传的Token后，进行合法性验证。
JWT另一个用途就是进行信息交换。由于JWT Token既可以用于承载数据，又是经过签名的，所以，既可以包含更多的应用相关信息，又可以保证数据的安全性，防止数据被拦截后修改。
服务安全之：JWT
标签：asc rc4 pex scl hsf tab pod 一个 S4B
原文地址：https://www.cnblogs.com/popgis/p/11854597.html
