security - JSON Web token 如何工作？不确定与 cookie 有何不同

Question

当使用 cookie 时，它​​们存储在服务器上，并与来自客户端请求的 cookie 进行比较。 JWT 与什么相比？它们是否被解码成它们的组件？

Answer 1

JSON Web 签名 (JWS) JWT 不与任何东西“比较”；而是使用加密 key 验证。 Various algorithms得到支持。验证 JWT 的系统必须有权访问适当的 key 以验证特定的 JWT。

对于对称 算法 (HS{256,384,512})，包含 token 的 JWS 对象使用具有 SHA-2 加密摘要的 HMAC 结构进行验证， key 由 < em>共享 secret ，即必须使用用于生成 token 的相同 key 来验证它。

对于非对称算法({RS,ES,PS}{256,384,512})，包含 token 的 JWS 对象使用 RSASSA-PKCSv1.5(RS)、ECDSA (ES) 或 RSASSA-PSS (PS) 算法与 SHA-2 加密摘要，使用 公钥 对应于用于签署 JWS 的私钥。

验证 JWS 的过程(JWT 始终使用 JWS 紧凑序列化进行序列化)在 JWS Internet-Draft 中定义。 .简而言之， token 分为三个部分: header (base64 编码的 JSON 对象)、有效负载(base64 编码的八位字节字符串；对于 JWT，这是一个 JSON JWT claims 对象)和签名( base64 编码的八位字节串)。 header 标识所使用的算法，该算法用于验证签名，签名是通过 ASCII(BASE64URL(UTF8(Header)) || '.' || BASE64URL(Payload)) (此签名输入正是序列化的 JWT，但不包括第二个周期。)