jwt - 在没有 secret 的情况下解码 JWT token

Question

我通过 JWT 使用私钥创建了一个 token ，但是当我尝试在 http://kjur.github.io/jsjws/tool_jwt.html 上对其进行解码时，我发现 token 可以在没有任何 key 的情况下被解码。那么 JWT token 只是一个签名是否正确？如何在没有 key 的情况下保持 token 不被解码？

Answer 1

JWT 可以通过两种方式使用公钥/私钥:签名和加密。

如果您使用私钥进行签名，它允许接收者识别 JWT 的发送者和消息的完整性，但不会向其他人隐藏其内容( secret 性)。请注意，它将是发送者的私钥，用于签署 JWT 并生成 JSON Web 签名 (JWS) 对象。显然，这适用于您正在查看的 JWT。

当使用公钥进行加密时，它可以用来向除预期接收者之外的任何人隐藏内容。结果是一个 JSON Web Encryption 对象。请注意，它将是用于加密 JWT 的收件人的公钥。显然这就是你要找的。

见:http://jose.readthedocs.org/en/latest/