python中的 JWT

一种基于JSON的开放标准(RFC 7519), 被用于在网络应用环境间传递声明, 此标准下有一种叫做Json web token (JWT) 的东西, 它被设计得紧凑又安全, 尤其适用于分布式站点的单点登录SSO场景。用来在身份提供者与服务提供者这边传递那被认证的用户身份信息的是JWT的声明, 目的在于从资源服务器获取相关资源, 还能够添加一些别的额外的为其它业务逻辑所必需的声明信息, 这个token它既能够直接用于认证, 又可以被加密。基于认证所显露的问题在每个用户经由我们进行应用认证后, 我们的应用需于服务端开展一次记录工作, 以此用以便利针对用户下次请求的鉴别, 一般情况下皆是保存于内存之中, 然而伴随认证用户数量的增多, 服务端所产生的开销会显著增大。扩展性方面, 用户完成认证后, 服务端会进行认证记录, 倘若认证记录被存储于内存中那就意味用户下次发起请求时, 必须向这台服务器发出请求, 如此方可获取授权资源, 基于此在分布式应用里, 相应地对负载均衡器能力形成了限制, 这同样意味着对应用扩展能力造成了限制。CSRF, 鉴于其是基于此来开展用户识别工作的, 要是被截获了, 那么用户便极易遭受跨站请求伪造的攻击。JWT的构成第一部我们把其中一部分称作头部, 将第二部分叫做载荷 , 好似飞机承载之物那般, 把第三部分说成签证。jwt的头部承载两部分信息声明类型这里是jwt声明加密的算法 通常直接使用 HMAC完整的头部就像下面这样的JSONtyp: JWT,alg: HS256接着把头部予以加密, 该加密能够进行对称解密, 进而构成了第一部分。存放有效信息之处便是载荷了。此名字仿若特地针对飞机所载的货品而言, 而这些有效信息乃是涵盖了三个部分的。标准中注册的声明公共的声明私有的声明标准中注册的声明 (建议但不强制使用) iss: jwt签发者sub: jwt所面向的用户aud: 接收jwt的一方exp: jwt的过期时间这个过期时间必须要大于签发时间nbf: 定义在什么时间之前该jwt都是不可用的.iat: jwt的签发时间JTI, 那是JWT具备的特定的、独一无二的身份标识, 它在此所起到的主要作用是当作那种仅能使用一次的token, 通过这一方式, 最终达成逃避重放攻击的目的。JWT的第三部分是一个签证信息这个签证信息由三部分组成(后的)(后的)想要构成jwt的第三部分, 这个部分需要使用根据加密后的和加密后的使用连接所组成的字符串, 接着得通过在中声明的加密方式来进行加盐后组合加密。将这三部分用.连接成一个完整的字符串,构成了最终的jwt它是被保存在服务器端的, jwt 的签发生成同样是在服务器端的, 其作用是用来进行 jwt 的签发以及 jwt 的验证, 所以, 它属于你服务端的私钥, 在任何场景下都不应当流露出去。一旦客户端知晓这个, 那就意味着客户端能够自我签发 jwt 了。优点由于json具备通用性, 故而JWT能够实现跨语言支持, 诸如JAVA、PHP等诸多语言均可加以运用。有的部分存在, 使得JWT能够在自身当中存储一些对于其他业务逻辑而言是必要的非敏感信息。Jwt的构成极为简易, 字节所占空间极小, 因而它特别容易利于传输, 是便于传输的 , 是十分方便进行传输的 , 是非常便利去传输的。它不需要在服务端保存会话信息, 所以它易于应用的扩展安全相关Jwt的部分, 属于客户端可解密的部分, 不应当在其中存放敏感信息。保护好私钥该私钥非常重要。如果可以请使用https协议