一篇文章带你分清楚JWT,JWS与JWE
发布网友
发布时间：2022-09-18 15:35
共1个回答
热心网友
时间：2023-07-19 11:18
JSON Web Token（JWT）是一个非常轻巧的规范。这个规范允许我们使用JWT在两个组织之间传递安全可靠的信息。
现在网上大多数介绍JWT的文章实际介绍的都是JWS(JSON Web Signature),也往往导致了人们对于JWT的误解，但是JWT并不等于JWS，JWS只是JWT的一种实现，除了JWS外，JWE(JSON Web Encryption)也是JWT的一种实现。
下面就来详细介绍一下JWT与JWE的两种实现方式：
JSON Web Signature是一个有着简单的统一表达形式的字符串：
头部用于描述关于该JWT的最基本的信息，例如其类型以及签名所用的算法等。
JSON内容要经Base64 编码生成字符串成为Header。
payload的五个字段都是由JWT的标准所定义的。
后面的信息可以按需补充。
JSON内容要经Base64 编码生成字符串成为PayLoad。
这个部分header与payload通过header中声明的加密方式，使用密钥secret进行加密，生成签名。
JWS的主要目的是保证了数据在传输过程中不被修改，验证数据的完整性。但由于仅采用Base64对消息内容编码，因此不保证数据的不可泄露性。所以不适合用于传输敏感数据。
相对于JWS，JWE则同时保证了安全性与数据完整性。
JWE由五部分组成：
具体生成步骤为：
可见，JWE的计算过程相对繁琐，不够轻量级，因此适合与数据传输而非token认证，但该协议也足够安全可靠，用简短字符串描述了传输内容，兼顾数据的安全性与完整性。
