Header: JWT 元数据, Json 对象, Base64Url编码

{
    "alg": "HS256",
    "typ: "JWT"
}

alg表示Signature使用的算法, typ表示令牌类型, JWT 统一写为JWT

1. iss(issuer): 签发人
2. exp(expiration time): 过期时间
3. sub(subject): 主题
4. aud(audience): 受众
5. nbf(Not Before): 生效时间
6. iat(Issued At): 签发时间
7. jti(JWT ID): 编号

另外, 也可以自定义字段

Signature: 签名, 字符串, 防止 JWT 被篡改
使用Header中指定的算法, 如HS256表示HMAC SHA256算法, 再加上只有 JWT 签发方才知道的密钥secret, 对Header和Payload进行签名, 计算公式如下:

Signature = HMACSHA256((Base64UrlEncode(Header) + "." + Base64UrlEncode(Payload)), secret)

这里面用到了Base64Url编码, 与Base64编码基本一样. 因为 JWT 可能会放到 URL 中, 所以前者中不能出现 +, / 和 = 这 3 个字符. 所以要被替换掉: = 被省略, + 替换成 -, / 替换成 _.
计算出签名后, 按照上面给出的格式将这三个部分拼接成字符串即可.

Payload仅仅是对 Json 字符串进行Base64Url编码, 所以其内容相当于是明文. 因此, 严禁在Payload中传输敏感内容(比如说密码), 如果要通过 JWT 传输敏感内容, 应该对Payload单独进行加密处理.

Signature用来确保 JWT 没有被篡改, Header和Payload相当于是明文, 但是计算签名的过程中加入了密钥secret, 只有签发者知道, 所以签发者只要用拿到的 JWT 再计算一次签名, 如果得到的结果与收到的 JWT 中的Signature不一致, 就说明 JWT 被篡改了.

JWT 只是作为令牌使用, 证明身份的临时工具(证明你是你)
拿接口调用来举例: 调用方第一次调用接口, 传输username(全局唯一)和password, 提供方查询数据库验证身份之后, 用username生成了一个 JWT 还给调用方.
调用方第二次调用其他接口时, 只需要把 JWT 给提供方, 提供方对 JWT 进行验证即可, 不需要再去后台查数据库了.