JWT(JSON WEB TOKEN) / oauth2 / SSL

Posted 2020-10-21 刘大飞

1: JWT:

　　为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519).该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。

　　JWT是由三段信息构成的，将这三段信息文本用.链接一起就构成了Jwt字符串。就像这样:

            header . playload.signature

      请求的时候是这样的：

  headers: {
    ‘Authorization‘: ‘Bearer ‘ + token   // 注意Bearer后面有空格
  }

优点

• 因为json的通用性，所以JWT是可以进行跨语言支持的，像JAVA,javascript,NodeJS,php等很多语言都可以使用。
• 因为有了payload部分，所以JWT可以在自身存储一些其他业务逻辑所必要的非敏感信息。
• 便于传输，jwt的构成非常简单，字节占用很小，所以它是非常便于传输的。
• 它不需要在服务端保存会话信息, 所以它易于应用的扩展

 具体的认证实现方式：  待续...

2： JWT  VS  Oauth:
     WT是一种认证协议 
     OAuth2是一种授权框架,OAuth2不是一个标准协议。它详细描述了系统中不同角色、用户、服务前端应用（比如API），以及客户端（比如网站或移动App）之间怎么实现相互认证。 
     在讨论OAuth2的实现时，会把JSON Web Token作为一种认证机制使用。这也是为什么他们会经常一起出现.
     Oauth2和JWT是如何结合的， 待续... ...

3: SSL
    SSL(Secure Sockets Layer 安全套接层)  是在传输层对网络传输数据进行加密。SSL协议位于TCP/IP协议与各种应用层协议之间，为数据通讯提供安全支持。
    SSL协议可分为两层： SSL记录协议（SSL Record Protocol）：它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。
    SSL握手协议（SSL Handshake Protocol）：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。

　　SSL功能：

　　　　1）认证用户和服务器，确保数据发送到正确的客户机和服务器；

　　　　2）加密数据以防止数据中途被窃取；

　　　　3）维护数据的完整性，确保数据在传输过程中不被改变。

    OAuth2和JWT的实现之前，都需要SSL安全保护，也就是对要传输的数据进行加密编码。安全地传输用户提供的私密信息，
    在任何一个安全的系统里都是必要的。否则任何人都可以通过侵入私人wifi，在用户登录的时候窃取用户的用户名和密码等信息。