题目
JWT的结构是什么？请简述各部分的作用
信息
- 类型：问答
- 难度：⭐
考点
JWT结构,组成部分作用,基础概念
快速回答
JWT由三部分组成：
- Header：声明令牌类型和签名算法（如HS256）
- Payload：携带实际数据（如用户ID、过期时间等）
- Signature：对前两部分的签名，用于验证完整性
格式：Header.Payload.Signature（Base64URL编码）
解析
1. JWT结构原理
JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在各方之间安全传输信息。其核心结构由三部分组成：
- Header：描述元数据的JSON对象，包含令牌类型（typ）和签名算法（alg）
- Payload：包含声明（claims）的JSON对象，如用户数据或权限
- Signature：对前两部分签名，防止数据篡改
2. 代码示例
// Header 示例
{
"alg": "HS256", // 签名算法
"typ": "JWT" // 令牌类型
}
// Payload 示例
{
"sub": "1234567890", // 用户标识
"name": "John Doe",
"iat": 1516239022, // 签发时间
"exp": 1516239122 // 过期时间
}
// Signature 生成伪代码
signature = HMACSHA256(
base64UrlEncode(header) + "." +
base64UrlEncode(payload),
"secret_key" // 密钥
)3. 各部分详解
| 部分 | 作用 | 注意事项 |
|---|---|---|
| Header | 定义算法和类型 | 常用算法：HS256（对称）、RS256（非对称） |
| Payload | 携带业务数据 | 避免存储敏感信息（如密码） |
| Signature | 验证数据完整性 | 密钥需严格保密 |
4. 最佳实践
- 使用HTTPS传输JWT
- Payload中设置
exp（过期时间）防止长期有效 - 敏感操作应结合其他验证机制（如2FA）
- 优先选择RS256等非对称算法增强安全性
5. 常见错误
- 在Payload存储敏感数据（JWT仅Base64编码，非加密）
- 未验证签名导致伪造攻击
- 未设置过期时间或过期时间过长
- 使用弱加密算法（如HS256密钥强度不足）
6. 扩展知识
- JWT vs Session：JWT无状态适合分布式系统，Session更易撤销
- 安全增强：可添加
jti（JWT ID）实现黑名单机制 - 调试工具：jwt.io可在线解码/验证JWT
