优质广告供应商

广告是为了更好地支持作者创作

一篇文章带你分清楚JWT,JWS与JWE

随着移动互联网的兴起,传统基于session/cookie的web网站认证方式转变为了基于OAuth2等开放授权协议的单点登录模式(SSO),相应的基于服务器session+浏览器cookie的Auth手段也发生了转变,Json Web Token出现成为了当前的热门的Token Auth机制。

Json Web Token(JWT)

JSON Web Token(JWT)是一个非常轻巧的规范。这个规范允许我们使用JWT在两个组织之间传递安全可靠的信息。

官方定义:JSON Web Token (JWT) is a compact URL-safe means of representing claims to be transferred between two parties

JWT Auth

现在网上大多数介绍JWT的文章实际介绍的都是JWS(JSON Web Signature),也往往导致了人们对于JWT的误解,但是JWT并不等于JWS,JWS只是JWT的一种实现,除了JWS外,JWE(JSON Web Encryption)也是JWT的一种实现。
下面就来详细介绍一下JWT与JWE的两种实现方式:


JWT,JWS与JWE

JSON Web Signature(JWS)

JSON Web Signature是一个有着简单的统一表达形式的字符串:


JWS
头部(Header)

头部用于描述关于该JWT的最基本的信息,例如其类型以及签名所用的算法等。
JSON内容要经Base64 编码生成字符串成为Header。

载荷(PayLoad)

payload的五个字段都是由JWT的标准所定义的。

  1. iss: 该JWT的签发者
  2. sub: 该JWT所面向的用户
  3. aud: 接收该JWT的一方
  4. exp(expires): 什么时候过期,这里是一个Unix时间戳
  5. iat(issued at): 在什么时候签发的

后面的信息可以按需补充。
JSON内容要经Base64 编码生成字符串成为PayLoad。

签名(signature)

这个部分header与payload通过header中声明的加密方式,使用密钥secret进行加密,生成签名。
JWS的主要目的是保证了数据在传输过程中不被修改,验证数据的完整性。但由于仅采用Base64对消息内容编码,因此不保证数据的不可泄露性。所以不适合用于传输敏感数据。

JSON Web Encryption(JWE)

相对于JWS,JWE则同时保证了安全性与数据完整性。
JWE由五部分组成:


JWE组成

具体生成步骤为:

  1. JOSE含义与JWS头部相同。
  2. 生成一个随机的Content Encryption Key (CEK)。
  3. 使用RSAES-OAEP 加密算法,用公钥加密CEK,生成JWE Encrypted Key。
  4. 生成JWE初始化向量。
  5. 使用AES GCM加密算法对明文部分进行加密生成密文Ciphertext,算法会随之生成一个128位的认证标记Authentication Tag。
    6.对五个部分分别进行base64编码。

可见,JWE的计算过程相对繁琐,不够轻量级,因此适合与数据传输而非token认证,但该协议也足够安全可靠,用简短字符串描述了传输内容,兼顾数据的安全性与完整性。

优质广告供应商

广告是为了更好地支持作者创作

推荐阅读更多精彩内容

  • 作为一种新兴的鉴权方案,Token 作为 Session ID 的替代品有许多天然优势,很多主流产品也从 Sess...
    云之外阅读 7,399评论 4 26
  • Spring Cloud为开发人员提供了快速构建分布式系统中一些常见模式的工具(例如配置管理,服务发现,断路器,智...
    卡卡罗2017阅读 131,285评论 18 138
  • 优质广告供应商

    广告是为了更好地支持作者创作

  • 概述 JSON Web令牌(JWT)是一个紧凑的采用URL安全表示方法的声明,用于在两方之间传输。JWT的声明被编...
    御浅永夜阅读 4,353评论 0 0
  • 今天的文章介绍一种适用于restful+json的API认证方法,这个方法是基于jwt,并且加入了一些从oauth...
    茶客furu声阅读 21,740评论 9 49
  • 心理学的三大基石: >知、情、意行咱们讲过了认知和情绪,今天唠唠“意行”,意志与行动。"思想上的巨人,行动上的残疾...
    邹佳_生涯咨询师阅读 240评论 0 1
  • 善待每一个生命 ————读《赏识你的学生》心得体会 岢岚三中 王保明 ...
    明心飞翔阅读 227评论 0 0
  • 优质广告供应商

    广告是为了更好地支持作者创作

  • 我是Wind, 以前是字幕组组长. 我每天早上听写1分钟电影, 坚持100天. 请把你听到的句子写在评论里, 哪怕...
    Wind教口语阅读 180评论 0 0
  • 中秋节过后,又要奔赴广州。听着怀里刚刚玩累了才睡着的2岁女儿均匀的呼吸声,不舍得。旁边男人再次催促她再不快点就要赶...
    离拉阅读 195评论 0 0
  • 一、名词解释 (1)SGA:SystemGlobalArea是OracleInstance的基本组成部分,在实例启...
    咋内倔阅读 614评论 0 2