为什么 jwt 令牌显示有效负载，即使我没有在 Jwt.io 中提供秘密（签名）？
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1aWQiOjIsImlhdCI6MTU2ODY1NjI1OX0.E2TNtWjqyPC-4myEom6leLJgE96ZlQOq0-mcBr3p5QU
如果我们使用 JsonWebToken 将我的代码生成的令牌放在 Jwt.io 站点中，即使我没有提供要验证的密钥，它也会立即解码。我不知道为什么它显示。有人可以解释一下原因吗？
--那么JWT中SECRET的目的是什么？
共有1个答案
我认为您在加密和签名之间有点困惑。
JSON Web 令牌没有加密，它只是 base64 编码，这意味着任何人都可以轻松解码和查看。
然而，它是有符号的，这意味着它有一个基于其中所有信息的哈希和一个密钥。只有那些拥有密钥（用于对称哈希）或公钥（用于非对称哈希）的人才能确认令牌已被正确哈希处理，并且只有密钥的提供者（拥有密钥）才能创建有效的哈希。
这样做的作用是让您确信令牌是由您认为它创建的人/服务创建的，防止冒充等，因此允许您信任令牌中所做的声明。如果该哈希因任何原因无效，您将立即拒绝该令牌，因为它很可能是伪造的。
请注意，正如@FlorentMorselli提到的，有一种叫做JWE的加密令牌。
-
我使API服务器与Node.js和快递。 我还为auth用户使用了JWT令牌身份验证。 如果令牌过期，我的场景就在这里。 > ，因为它不会检查签名是否正确。 对于提取过期令牌的有效负载，有什么解决方案吗？ 谢谢。
-
如果我创建一个JWT令牌，有效负载中应该有哪些数据？我在网上查找了一些示例和解释，有些人将密码放在JWT中，有些人没有。 现在我正在传递以下数据： 将散列密码放入JWT有效负载感觉不对，因为JWT将被放置在前端应用程序中。它应该在那里吗？ 最佳实践是什么？
-
我想用当前的方法加密JWT负载，比如对称或非对称加密方法。我的问题是，如果我使用这些方法，javascript需要在客户端对我的数据执行任何操作？还是加密和验证的所有部分都将在服务器端完成？在本文中，他们说，如果需要加密负载，则必须存储公钥（由于RSA或…）等加密算法的缘故）。为什么？如果我需要加密有效负载，为什么我们需要在jwt令牌中存储公钥（或任何密钥）？有没有办法只在服务器端对称加密有效负载
-
我在Spring Boot中创建了一个JWT令牌，用于存储用户详细信息。当我使用Jwttokenutil时。getUsernameFromToken（authToken）[authToken是传递的令牌]方法我将数据集获取给Subject。类似地，我希望将包含其他用户详细信息的数据集获取到Payload。但是我不能得到它。 ======下面是我的令牌生成方法/代码：======== =======
-
我实现了生成jwt令牌的oauth。我的令牌包含用户信息，如果我将其放入jwt.io中，则信息是可见的。有没有什么方法可以加密令牌，使其不被jwt.io解密？
-
我想从Stormpath帖子中对JWT令牌和CSRF提出疑问，这些令牌和CSRF解释了将JWT存储在localStorage或Cookie中的优缺点。 [...] 如果您使用JS从cookie中读取值，这意味着您不能在cookie上设置Httponly标志，因此现在站点上的任何JS都可以读取它，从而使其与在localStorage中存储内容的安全级别完全相同。 我试图理解为什么他们建议将xsrfT
-
这应该是一个相对简单的问题，但它让我发疯。我正在尝试在JavaFX中创建扫雷器（主要用于练习），但我甚至无法显示一个简单的矩形。我以前运行过一次游戏，但我试图使游戏更加抽象，因此更容易编码，但我遇到了不显示任何问题。 我消除了所有无关的代码，使其尽可能简单。我基本上是在尝试创建一个名为Box的具有特定颜色和大小的矩形，将框添加到窗格中，并显示窗格。为了使Box成为可以在窗格上显示的节点，我使Box
-
我试图验证在https://JWT.io上使用本地运行的KeyCloak身份验证提供程序生成的HS256 JWT令牌。 KeyCloack实例在我的本地机器上的docker容器中运行。我已经应用了与本答案中描述的几乎相同的步骤（相反，它应用了RS算法，并且按照描述的方式工作）:https://stackoverflow.com/a/55002225/1534753 我的验证过程非常简单： 4.）我