抛开晦涩难懂概念，以通俗易懂方式深入理解JWT

2023-10-03 11:18:32

解锁身份验证和授权：了解 JSON Web 令牌 (JWT)

什么是 JWT？

想象一下，你有一把数字钥匙，可以让你解锁特定房间。JSON Web 令牌 (JWT) 就是这种钥匙，允许你在不同的应用程序和设备之间安全地传递用户信息。JWT 是一个基于 JSON 的字符串，包含三部分：头部（meta 数据）、载荷（用户信息）和签名（验证真实性）。

JWT 如何工作？

JWT 的工作原理就像邮差递送信件一样。

服务器充当邮局，生成 JWT 并将其发送给客户端（收件人）。
客户端像邮箱一样，存储 JWT。
每次客户端向服务器发送请求时，都会附上 JWT（就像邮票）。
服务器就像信件检查员，验证 JWT 的真实性，然后授予客户端访问权限（就像解锁房间）。

JWT 的优点

JWT 就像瑞士军刀一样，用途广泛：

简单： JWT 易于理解和实施。
安全： JWT 使用数字签名，提供强大的安全性。
灵活： JWT 可用于各种场景，从身份验证到数据交换。
跨域： JWT 可跨不同域使用，非常适合单点登录 (SSO) 系统。

JWT 的缺点

就像任何工具一样，JWT 也有其局限性：

大小： 包含大量数据的 JWT 体积可能很大。
安全性： 如果私钥被泄露，JWT 可能被伪造。
存储： JWT 存储在客户端，需要考虑安全存储。

Session 与 JWT

Session 和 JWT 就像不同的护照，各有各的用途：

Session： 存储大量数据，有效期短，安全性高。
JWT： 可跨域使用，有效期长，灵活性高。

何时使用 Session？

需要存储大量用户数据、需要短有效期身份验证或需要高安全性的场景。

何时使用 JWT？

需要跨域身份验证、需要长有效期身份验证或需要灵活性的场景。

代码示例

使用 JavaScript 生成 JWT：

const jwt = require('jsonwebtoken');

const payload = {
  name: 'John Doe',
  email: 'johndoe@example.com',
  role: 'admin'
};

const secret = 'mysecret';

const token = jwt.sign(payload, secret);

使用 JavaScript 验证 JWT：

const jwt = require('jsonwebtoken');

const token = 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiSm9obiBEb2UiLCJlbWFpbCI6ImpvaG5kb2VAZXhhbXBsZS5jb20iLCJyb2xlIjoiYWRtaW4ifQ.1234567890';

const secret = 'mysecret';

jwt.verify(token, secret, (err, decoded) => {
  if (err) {
    // Invalid token
  } else {
    // Valid token
    console.log(decoded);
  }
});