JWT 由三部分组成用点号 . 分隔JWTJSON Web Token是一种开放标准RFC 7519用于在网络应用环境间安全地传输信息。它是一种紧凑、自包含的方式用于将信息作为JSON对象在各方之间进行安全传输。核心结构JWT 由三部分组成用点号.分隔xxxxx.yyyyy.zzzzz↑ ↑Header Payload Signature1. Header头部包含令牌类型和签名算法json{alg: HS256,typ: JWT}2. Payload载荷包含声明claims如用户ID、权限、过期时间等json{sub: user123,name: John Doe,iat: 1516239022,exp: 1516242622}3. Signature签名用于验证消息未被篡改生成方式HMACSHA256(base64UrlEncode(header) . base64UrlEncode(payload),secret)主要特点特性 说明紧凑 体积小可通过URL、POST参数或HTTP Header传输自包含 载荷中包含所需所有信息减少数据库查询安全 可签名HMAC/RSA和加密JWE常见应用场景1. 认证Authentication — 用户登录后服务端签发JWT客户端后续请求携带该令牌2. 信息交换 — 安全地在各方之间传输信息签名确保内容未被篡改工作流程示例┌─────────┐ ┌─────────┐│ 客户端 │ ── 1.登录请求 ───→ │ 服务端 ││ │ ←─ 2.返回JWT ───── │ ││ │ │ ││ │ ── 3.请求API(带JWT) →│ ││ │ ←─ 4.验证通过返回数据│ │└─────────┘ └─────────┘使用注意事项- 不要在JWT中存放敏感信息载荷只是Base64编码未加密- 设置合理的过期时间exp声明- 使用HTTPS传输防止令牌被截获- 密钥安全保管泄露密钥意味着任何人可伪造令牌JWT 是现代Web开发中实现无状态认证的主流方案广泛应用于微服务架构、单页应用SPA和移动应用后端。