JWT学习（一）之JWT 是什么？

一、JWT 是什么？

JWT（JSON Web Token） 是一种无状态的身份认证令牌标准（RFC 7519）。

一句话版：

JWT = 把用户身份信息签名后，塞进一个字符串里，让服务端不用存 Session 也能校验身份

常用于：

• 登录鉴权（Authentication）
• 接口授权（Authorization）
• 微服务之间的身份传递

可以参考官网

JWT官网：https://www.jwt.io/

如下网站提供在线验证JWT有效性

JWT在线验证：https://www.bejson.com/jwt/

---

二、JWT 的结构（重点）

JWT 看起来像这样：

xxxxx.yyyyy.zzzzz

由 三部分组成 （用 . 分隔）：

1️⃣ Header（头部）

描述 token 类型和签名算法：

{
  "alg": "HS256",
  "typ": "JWT"
}

• alg：签名算法（HS256 / RS256）
• typ：类型，通常是 JWT

Base64Url 编码后就是第一段。

---

2️⃣ Payload（载荷 / Claims）

真正存放业务数据的地方：

{
  "sub": "user123",
  "iss": "kms-auth",
  "aud": "kms-api",
  "exp": 1769752803,
  "iat": 1769750000,
  "scope": "read write"
}

常见标准 Claim（强烈建议使用）

Claim	含义
sub	subject，用户唯一标识
iss	issuer，签发方
aud	audience，接收方
exp	过期时间（秒级时间戳）
iat	签发时间
jti	token 唯一 ID

⚠️ Payload 是可解码的，不是加密的！
不要放密码、秘钥、隐私数据

---

3️⃣ Signature（签名）

HMACSHA256(
  base64UrlEncode(header) + "." + base64UrlEncode(payload),
  secret
)

作用：

• 防篡改
• 校验 token 是否由可信方签发

---

三、JWT 的工作流程

以登录为例：

用户 → 登录
     → 服务端校验账号密码
     → 生成 JWT
     → 返回给客户端

之后每次请求：

客户端 → Authorization: Bearer <JWT>
服务端 → 验签 + 校验 exp/iss/aud
       → 放行 or 拒绝

🚀 服务端不存 Session，真正的无状态

✅总体流程如下图：
是
否
合法
非法
用户登录
认证服务校验账号密码
生成 JWT Access Token
返回 Token 给客户端
客户端请求业务接口

Authorization: Bearer JWT
业务服务 / 网关
Token 是否有效?
放行并返回业务数据
返回 401 Token Expired
客户端携带 refresh_token
认证服务校验 refresh_token
签发新的 Access Token
要求重新登录

👉注意：

一般客户端可以解析token的过期时间，快过期时则重新使用refresh_token 换取新的access_token

---

四、JWT 的优点 & 缺点

✅ 优点

• 无状态：适合分布式 / 微服务
• 跨语言：前后端、服务间通用
• 性能好：无需查 Session
• 标准化：生态成熟

---

❌ 缺点（很多人踩坑）

1️⃣ 无法主动失效

• token 没过期之前，服务端默认都认
• 解决方案：
  • 短 access_token + refresh_token
  • 黑名单（Redis 存 jti）

2️⃣ Payload 明文

• 只是 Base64，不是加密
• 敏感信息放数据库 / Redis

3️⃣ Token 变大

• header + payload + 签名
• 不适合塞太多 claim

---

五、常见签名算法选择

🔐 HS256（对称）

• 一个 secret
• 签发和校验用同一个秘钥
• 适合单体 / 简单系统

🔐 RS256（非对称，推荐）

• 私钥签发
• 公钥验签
• 适合微服务、第三方接入

---

六、JWT vs Session（面试高频）

对比项	JWT	Session
状态	无状态	有状态
存储	客户端	服务端
分布式	天然支持	需要 Session 共享
主动失效	困难	简单
安全	依赖签名	依赖服务端

👉 高并发 / 微服务：JWT

👉 后台管理 / 强控制：Session

---

七、最佳实践（血泪总结）

✔ access_token 10~30 分钟

✔ refresh_token 单独接口换

✔ 必校验：exp / iss / aud

✔ jti + Redis 支持踢人

✔ HTTPS（JWT + HTTP = 裸奔）