来源：blog.leapoahead.com/2015/09/06/understanding-jwt/
JSON Web Token（JWT）是一个非常轻巧的规范。这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的信息。
让我们来假想一下一个场景。在A用户关注了B用户的时候，系统发邮件给B用户，并且附有一个链接“点此关注A用户”。链接的地址可以是这样的
https://your.awesome-app.com/make-friend/?jwt=eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJmcm9tX3VzZXIiOiJCIiwidGFyZ2V0X3VzZXIiOiJBIn0.rSWamyAYwuHCo7IFAgd1oRpSP7nzL7BF5t7ItqpKViM
这样就可以安全地完成添加好友的操作了！
且慢，我们一定会有一些问题：
-
签名的目的是什么？ -
Base64是一种编码，是可逆的，那么我的信息不就被暴露了吗？
让我逐一为你说明。
签名的目的
最后一步签名的过程，实际上是对头部以及载荷内容进行签名。一般而言，加密算法对于不同的输入产生的输出总是不一样的。对于两个不同的输入，产生同样的输出的概率极其地小（有可能比我成世界首富的概率还小）。所以，我们就把“不一样的输入产生不一样的输出”当做必然事件来看待吧。微信搜索公众号：Java项目精选，回复：java 领取资料 。
所以，如果有人对头部以及载荷的内容解码之后进行修改，再进行编码的话，那么新的头部和载荷的签名和之前的签名就将是不一样的。而且，如果不知道服务器加密的时候用的密钥的话，得出来的签名也一定会是不一样的。
签名过程
服务器应用在接受到JWT后，会首先对头部和载荷的内容用同一算法再次签名。那么服务器应用是怎么知道我们用的是哪一种算法呢？别忘了，我们在JWT的头部中已经用alg字段指明了我们的加密算法了。
如果服务器应用对头部和载荷再次以同样方法签名之后发现，自己计算出来的签名和接受到的签名不一样，那么就说明这个Token的内容被别人动过的，我们应该拒绝这个Token，返回一个HTTP 401 Unauthorized响应。
信息会暴露？
是的。
所以，在JWT中，不应该在载荷里面加入任何敏感的数据。在上面的例子中，我们传输的是用户的User ID。这个值实际上不是什么敏感内容，一般情况下被知道也是安全的。
但是像密码这样的内容就不能被放在JWT中了。如果将用户的密码放在了JWT中，那么怀有恶意的第三方通过Base64解码就能很快地知道你的密码了。
JWT的适用场景
我们可以看到，JWT适合用于向Web应用传递一些非敏感信息。例如在上面提到的完成加好友的操作，还有诸如下订单的操作等等。
其实JWT还经常用于设计用户认证和授权系统，甚至实现Web应用的单点登录。在下一次的文章中，我将为大家系统地总结JWT在用户认证和授权上的应用。
如果本文对你有帮助的话，请不要吝啬你的赞，谢谢！
（完）
关注公众号：Java后端编程，回复下面关键字
要Java学习完整路线，回复 路线
缺Java入门视频，回复： 视频
要Java面试经验，回复 面试
缺Java项目，回复： 项目
进Java粉丝群： 加群
PS：如果觉得我的分享不错，欢迎大家随手点赞、在看。
（完） 加我"微信" 获取一份 最新Java面试题资料
请备注：666，不然不通过～
最近好文
1、Mybatis 开发神器：Fast MyBatis 超好用
最近面试BAT，整理一份面试资料《Java面试BAT通关手册》，覆盖了Java核心技术、JVM、Java并发、SSM、微服务、数据库、数据结构等等。 获取方式：关注公众号并回复 java 领取，更多内容陆续奉上。 明天见(｡･ω･｡)ﾉ♡ 本篇文章来源于微信公众号:程序IT圈
原创文章，作者：栈长，如若转载，请注明出处：https://www.cxyquan.com/22122.html
