java - JWT token 问题

Question

我使用 java keystore 公钥和 io.jsonwebtoken 库创建了一个 jwt token 。生成后，我将生成的 token 复制粘贴到 https://jwt.io 网站中。它在不使用私钥的情况下解码了我的 token 。这怎么可能？

KeyPairGenerator keyGen = KeyPairGenerator.getInstance("RSA");
PrivateKey privateKey = pair.getPrivate();
Claims claims = Jwts.claims().setSubject(userName);
        claims.put("scopes", scopes);
        String token = Jwts.builder()
                .setClaims(claims)
                .signWith(SignatureAlgorithm.RS256, privateKey)
                .compact();

Answer 1

您的 JWT 仅经过签名，未加密。传入 JWT 的主要安全功能是它末尾有一个校验和/签名。您的 Java 程序能够验证校验和是否与 JWT 的实际内容匹配(例如 header 和声明)。如果校验和不匹配，则服务器将假定 JWT 已被篡改并拒绝它。 JWT 的主要用途并不是保护关键信息，而是控制应用程序中的授权和身份验证。