JWT 是一种用于在网络应用间安全传递声明的自包含令牌，由 Header、Payload 和 Signature 三部分组成。详细解释了 JWT 的结构、编码方式及签名验证机制，对比了其与 Session 在存储位置、状态、扩展性等方面的区别。通过 Spring Boot 实战演示了 JWT 的生成、解析、拦截器配置及登录流程，并指出了无法主动登出、Payload 非加密、密钥泄露风险等缺点及最佳实践建议，帮助开发者理解并安全集成 JWT 认证方案。
JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在网络应用间安全地传递'声明'（claims）的紧凑、自包含令牌。
简单说：JWT 就是一个加密的字符串，里面包含了用户身份信息，服务器不用查数据库就能验证你是谁！
一个典型的 JWT 看起来像这样：
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9. eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ. SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
它由 三部分组成，用点 . 分隔：
| 部分 | 说明 | 是否可读 |
|---|---|---|
| Header（头部） | 算法 + 类型 | Base64 可解码 |
| Payload（载荷） | 用户数据（如 ID、角色、过期时间） | Base64 可解码 |
| Signature（签名） | 用于验证令牌是否被篡改 | 不可逆 |
✅ 注意：JWT 默认是 Base64 编码，不是加密！任何人都能解码看到内容！
🔒 安全靠的是 签名（Signature），防止内容被篡改。
{
"alg": "HS256",
"typ": "JWT"
}
alg：签名算法（如 HS256、RS256）typ：令牌类型，固定为 JWT{
"sub": "1234567890", // 主题（通常是用户 ID）
"name": "John Doe",
"admin": true,
"iat": 1516239022, // 签发时间（时间戳）
"exp": 1516242622 // 过期时间（重要！）
}
⚠️ 不要在 Payload 里放敏感信息（如密码、手机号）！ 因为它是明文（Base64 可解码）！
服务器用 密钥 + 算法 对 Header + Payload 进行签名：
HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secretKey )
[图：JWT 认证流程图]
✅ 整个过程 服务器无需存储 session，真正'无状态'！
| 特性 | JWT | Session |
|---|---|---|
| 存储位置 | 客户端（LocalStorage/Cookie） | 服务端（内存/Redis） |
| 状态 | 无状态（Stateless） | 有状态（需维护 session） |
| 扩展性 | 天然支持分布式 | 需共享 session（如 Redis） |
| 安全性 | 依赖签名，防篡改 | 依赖 session ID 随机性 |
| 登出 | 难（需黑名单或短期过期） | 容易（删 session 即可） |
| 传输大小 | 较大（含用户数据） | 小（只传 session ID） |
💡 JWT 适合：API 服务、微服务、移动端
💡 Session 适合：传统 Web 应用、需要强登出控制的系统
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt-api</artifactId>
<version>0.11.5</version>
</dependency>
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt-impl</artifactId>
<version>0.11.5</version>
<scope>runtime</scope>
</dependency>
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt-jackson</artifactId>
<version>0.11.5</version>
<scope>runtime</scope>
</dependency>
@Component
public class JwtUtil {
private String secret = "MySecretKey123!@#"; // 生产环境应配置在 application.yml
private long expiration = 86400000; // 24 小时
public String generateToken(String userId) {
return Jwts.builder()
.setSubject(userId)
.setIssuedAt(new Date())
.setExpiration(new Date(System.currentTimeMillis() + expiration))
.signWith(SignatureAlgorithm.HS256, secret)
.compact();
}
public String getUserIdFromToken(String token) {
return Jwts.parser()
.setSigningKey(secret)
.parseClaimsJws(token)
.getBody()
.getSubject();
}
public boolean validateToken(String token) {
try {
Jwts.parser().setSigningKey(secret).parseClaimsJws(token);
return true;
} catch (Exception e) {
return false;
}
}
}
@RestController
public class AuthController {
@Autowired
private JwtUtil jwtUtil;
@PostMapping("/login")
public ResponseEntity<?> login(@RequestBody LoginRequest req) {
// 模拟验证账号密码（实际应查数据库）
if ("admin".equals(req.getUsername()) && "123456".equals(req.getPassword())) {
String token = jwtUtil.generateToken("10001");
return ResponseEntity.ok(Map.of("token", token));
}
return ResponseEntity.status(401).body("账号或密码错误");
}
}
public class JwtInterceptor implements HandlerInterceptor {
@Autowired
private JwtUtil jwtUtil;
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) {
String authHeader = request.getHeader("Authorization");
if (authHeader != null && authHeader.startsWith("Bearer ")) {
String token = authHeader.substring(7);
if (jwtUtil.validateToken(token)) {
// 可将用户 ID 存入 ThreadLocal 或 Request Attribute
return true;
}
}
response.setStatus(401);
return false;
}
}
注册拦截器：
@Configuration
public class WebConfig implements WebMvcConfigurer {
@Override
public void addInterceptors(InterceptorRegistry registry) {
registry.addInterceptor(new JwtInterceptor())
.addPathPatterns("/api/**")
.excludePathPatterns("/login");
}
}
secretKey 泄露，攻击者可伪造任意用户 token；| 项目 | 建议 |
|---|---|
| 过期时间 | Access Token 15~30 分钟，配合 Refresh Token |
| 存储位置 | Web 用 HttpOnly Cookie（防 XSS），App 用安全存储 |
| 传输协议 | 必须 HTTPS |
| 密钥管理 | 用配置中心或环境变量，不要硬编码 |
掌握 JWT，你就掌握了现代 API 认证的'通行证'！
微信公众号「极客日志」，在微信中扫描左侧二维码关注。展示文案：极客日志 zeeklog
查找任何按下的键的javascript键代码、代码、位置和修饰符。 在线工具，Keycode 信息在线工具，online
JavaScript 字符串转义/反转义；Java 风格 \uXXXX（Native2Ascii）编码与解码。 在线工具，Escape 与 Native 编解码在线工具，online
使用 Prettier 在浏览器内格式化 JavaScript 或 HTML 片段。 在线工具，JavaScript / HTML 格式化在线工具，online
Terser 压缩、变量名混淆，或 javascript-obfuscator 高强度混淆（体积会增大）。 在线工具，JavaScript 压缩与混淆在线工具，online
将字符串编码和解码为其 Base64 格式表示形式即可。 在线工具，Base64 字符串编码/解码在线工具，online
将字符串、文件或图像转换为其 Base64 表示形式。 在线工具，Base64 文件转换器在线工具，online