关于jwt你应该知道的事情

什么是 jwt ?

JWT 全称叫 JSON Web Token, 是一个非常轻巧的规范。这个规范允许我们使用 JWT 在用户和服务器之间传递安全可靠的信息。

jwt 使用场景

jwt 用图广泛&＃xff0c;例如授权、鉴权等。具体一点的话&＃xff0c;假如我们有一个 A 用户想要邀请某用户进入自己的群组&＃xff0c;此时 A 用户需要生成一条邀请链接&＃xff0c;链接内容大致如下: https://host/group/{group_id}/invite/{invite_user}

此时这个链接点击进去虽然可以实现让用户加入群组&＃xff0c;但是用户可以随意更改这个链接的参数&＃xff0c;例如改改 group 后面的ID&＃xff0c;从而加入其他任意群组&＃xff0c;改改 invite 后面的邀请人等等操作。所以这种 URL 并不是安全的&＃xff0c;那么这种情况下&＃xff0c;我们就可以使用 jwt 来实创建一个安全的邀请链接了。

首先 URL 要简单改一下&＃xff0c; https://host/group/invite/{token}
可以看到我们去掉了 groupId 和 inviteUser 参数&＃xff0c;添加了一个 token 参数&＃xff0c;可想而知&＃xff0c; groupId 和 inviteUser 应该是被包含进 token 里面了&＃xff0c;如何实现这个看似很神奇的 token 呢? 我们来看看 jwt 的原理吧。

jwt 的组成、原理及实现

在讲 jwt 原理之前得先知道 jwt 由哪些东西组成。

jwt 组成

一个 JWT 实际上就是一个字符串&＃xff0c;它由三部分组成&＃xff0c;头部、载荷与签名。

头部 (Header)

JWT 需要一个头部&＃xff0c;用于描述关于该 JWT 的最基本的信息&＃xff0c;例如其类型以及签名所用的算法等。这也可以被表示成一个 JSON 对象&＃xff0c;如:

{"typ": "JWT","alg": "md5" }

将上面的 json 字符串使用 base64 进行编码后&＃xff0c;可以得到一下内容&＃xff0c;我们称其为 JWT 的头部(Header)。

eyJ0eXAiOiJqd3QiLCJhbGciOiJtZDUifQ&＃61;&＃61;

载荷&＃xff08;Payload&＃xff09;

我们先将上面的邀请入群的操作描述成一个 JSON 对象。其中添加了一些其他的信息&＃xff0c;帮助今后收到这个 JWT 的服务器理解这个JWT。

{"sub": "1","iss": "http://host/group/invite","iat": 1451888119,"exp": 1454516119,"nbf": 1451888119,"jti": "37c107e4609ddbcc9c096ea5ee76c667","group_id": 1,"invite_user": "A" }

这里面的前6个字段都是由JWT的标准所定义的。

sub: 该 JWT 所面向的用户
iss: 该 JWT 的签发者
iat(issued at): 在什么时候签发的 token
exp(expires): token 什么时候过期
nbf(not before)&＃xff1a;token 在此时间之前不能被接收处理
jti&＃xff1a;JWT ID为web token 提供唯一标识

将上面的 json 字符串使用 base64 进行编码后&＃xff0c;可以得到一下内容&＃xff0c;我们称其为 JWT 的载荷(Payload)。

eyJzdWIiOiIxIiwiaXNzIjoiaHR0cDpcL1wvOiIsImV4cCI6MTUyNzY2NzY2MywiaWF0IjoxNTI3NjY0MDYzLCJuYmYiOjE1Mjc2NjQwNjMsImdyb3VwX2lkIjoxLCJpbnZpdGVfdXNlciI6IkEiLCJqdGkiOiJlMjE4ZTJhZDdlYTdmZjUzYTVhM2RlZjA0MmFjMjM4NCJ9

签名(Signature)

在签名之前我们需要先得到用于签名的字符串, 将头部和载荷使用 . 进行拼接(头部在前), 得到用于签名的字符串

eyJ0eXAiOiJqd3QiLCJhbGciOiJtZDUifQ&＃61;&＃61;.eyJzdWIiOiIxIiwiaXNzIjoiaHR0cDpcL1wvOiIsImV4cCI6MTUyNzY2NzY2MywiaWF0IjoxNTI3NjY0MDYzLCJuYmYiOjE1Mjc2NjQwNjMsImdyb3VwX2lkIjoxLCJpbnZpdGVfdXNlciI6IkEiLCJqdGkiOiJlMjE4ZTJhZDdlYTdmZjUzYTVhM2RlZjA0MmFjMjM4NCJ9

然后使用签名方法对用于签名的字符串进行签名&＃xff0c; 得到如下字符串&＃xff0c;即签名(Signature)

NDljMzljOTkyOGNmYWU1NGEyZDYzMTk5NTNlNGEwZDA&＃61;

最后把用于签名的字符串和签名使用 . 进行拼接(签名在后)&＃xff0c; 即可得到一个完整的 token。但是&＃xff0c;此时的
token 没有带上签发者特有的标志&＃xff0c;是可以被伪造的&＃xff0c;至于如何解决这个问题我们下面 jwt 具体实现会讲。

jwt 原理

jwt 如何保证安全 ?

上面说完 jwt 组成&＃xff0c;相信你已经知道 jwt 大概是个啥子东西了 --- 就是一个字符串!!!
那么这个字符串如何保证不被篡改呢 ? 这里就要引入 secret 了。

回到上面的例子&＃xff0c;邀请用户入群这个场景&＃xff0c;虽然我们上面把参数改成了 token 这种形式&＃xff0c;但是你可能会发现&＃xff0c;这样的 token 别人捕获了之后&＃xff0c;任然可以自己伪造一个类似的 token &＃xff0c;因为此时的签名(Signature)并没有签发者特有的身份信息&＃xff0c;所有数据都是明文的&＃xff0c;所以这样签名是不安全的&＃xff0c;应该加上 secret 进行签名。

签发者需要准备一个可以确认自己身份的字符串&＃xff0c;这个字符串我们称之为 secret 。以 md5 作为签名方法为例(并不建议使用 md5 作为签名方法)&＃xff0c;我们只需要将上面准备的用于签名的字符串简单的与 secret 进行拼接&＃xff0c;然后进行 md5 计算&＃xff0c;这时候得到的签名是受 secret 值影响的&＃xff0c;所以即便他人捕获了之后 token&＃xff0c;他仍然不能随意篡改 token 的内容&＃xff0c;因为他不知道 secret 和拼接方法&＃xff0c;故此时的 token 是安全的&＃xff0c;不可被恶意篡改的。

$signatureString &＃61; &＃39;pen&＃39;; // 原始数据 $secret &＃61; &＃39;apple&＃39;; // 签发者 secret$originSignature &＃61; md5($signatureString .&＃39;-&＃39;. $secret); print_r($signature); // apple-pen $signatureString &＃61; &＃39;pen&＃39;; // 原始数据 $secret &＃61; &＃39;pineapple&＃39;; // 不一样的 secret $fakeSignature &＃61; md5($signatureString .&＃39;-&＃39;. $secret); print_r($signature); // pineapple-pen // 可以看到不一样的 secret 会生成完全不一样的签名&＃xff0c;这样我们的数据就可以保证不能被随意篡改了~

jwt 传输的数据会泄露 ?

是的&＃xff0c;jwt 的头部和载荷字段都可以被解码(base64 属于编码&＃xff0c;是可以被解码的)。所以并不建议用 jwt 传输敏感信息&＃xff0c;例如密码&＃xff0c;因为这很容易被捕获后解码&＃xff0c;从而被窃取。

secret 一个字符串不足以描述签发者信息 &＃xff1f;

我们可以将签发者信息描述成一个 json &＃xff0c;然后对这个 json 字符串进行编码&＃xff0c;这样同样可以得到一个 secret 字符串。

jwt 实现

先来一个最粗暴的 jwt 实现

最简单粗暴的 `jwt for php` 实现

class JWT {protected $headers;protected $payload;/*** &＃64;return array*/public function getHeaders(): array{return $this->headers;}/*** &＃64;return array*/public function getPayload(): array{return $this->payload;}public function __construct(array $headers, array $payload){$this->setHeaders($headers);$this->setPayload($payload);}public function setHeaders(array $headers): void{$this->headers &＃61; $headers;}public function setPayload(array $payload): void{$this->payload &＃61; $payload;}/*** 获取用于签名的字符串** &＃64;return string*/public function signatureStr(): string{$headersStr &＃61; $this::encodeStr(json_encode($this->headers));$payloadStr &＃61; $this::encodeStr(json_encode($this->payload));return "{$headersStr}.{$payloadStr}";}/*** 编码** &＃64;param string $string** &＃64;return string*/protected static function encodeStr(string $string): string{return rtrim(strtr(base64_encode($string), &＃39;&＃43;/&＃39;, &＃39;-_&＃39;), &＃39;&＃61;&＃39;);}/*** 解码** &＃64;param string $string** &＃64;return string*/protected static function decodeStr(string $string): string{return base64_decode(strtr($string, &＃39;-_&＃39;, &＃39;&＃43;/&＃39;));}/*** 签名&＃xff0c;此时的 secret 为 qbhy** &＃64;param string $string** &＃64;return string*/protected static function signature(string $string): string{return md5($string . &＃39;qbhy&＃39;);}/*** 校验签名** &＃64;param string $signStr* &＃64;param string $sign** &＃64;return bool*/protected static function checkSignature(string $signStr, string $sign): bool{return static::signature($signStr) &＃61;&＃61;&＃61; $sign;}/*** 生成 token** &＃64;return string*/public function token(): string{$signStr &＃61; $this->signatureStr();$token &＃61; $signStr . &＃39;.&＃39; . $this::signature($signStr);return $token;}/*** 从 token 中获取数据** &＃64;param string $token** &＃64;return \App\Modules\JWT\JWT* &＃64;throws \App\Modules\JWT\JWTException*/public static function fromToken(string $token): JWT{$arr &＃61; explode(&＃39;.&＃39;, $token);if (count($arr) !&＃61;&＃61; 3) {throw new JWTException(&＃39;token 错误&＃39;);}if (!static::checkSignature("{$arr[0]}.{$arr[1]}", $arr[2])) {throw new JWTException(&＃39;签名错误&＃39;);}$headers &＃61; json_decode(static::decodeStr($arr[0]), true);$payload &＃61; json_decode(static::decodeStr($arr[1]), true);return new static($headers, $payload);}}

simple-jwt

这里先安利一下我写的一个基于 php 的 jwt 扩展包 --- 96qbhy/simple-jwt &＃xff0c; 这个包实现了完整的 jwt 规范&＃xff0c;开箱即用&＃xff0c;你可以基于 96qbhy/simple-jwt 来给你的应用添加 jwt 相关功能。

我把 simple-jwt 拆分成&＃xff0c;Encoder(编码器) 、Encrypter(签名器) 、JWT、JWTManager 四部分&＃xff0c;你可以自行扩展 Encoder、Encrypter&＃xff0c;从而实现自己的编码和加密方法&＃xff0c;感兴趣的同学可以去 github 看看源码 96qbhy/simple-jwt 。有问题欢迎与我讨论&＃xff0c;同时欢迎 Issue 和 PR 。
如有错误欢迎指出&＃xff0c;谢谢。