什么是智威汤逊中的密钥

Question

我无法清楚地掌握 JWT 的工作原理，尤其是签名部分。

客户端提交正确的用户名和密码后，身份验证服务器将创建一个由标头、有效负载/声明和签名组成的 JWT 令牌。

问题 1 - 签名是不是只有身份验证服务器知道的密钥（不是用户的密码）（有点像服务器的私钥）？

问题 2 - 假设我正在使用单独的应用程序服务器和身份验证服务器，在从客户端接收 JWT 时，应用程序服务器是否会将 JWT 发送到身份验证服务器以进行验证？我想应用程序服务器无法验证 JWT 令牌，因为它不知道用于对标头和有效负载进行签名的密钥。

问题 3 - 我拿了以下 JWT 并将其粘贴到 jwt.io 上。我看到消息“签名已验证”。jwt.io 怎么知道签名是正确的，因为它不知道密钥。

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.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.GwN6TSNd426xpc3Y02eRXHbrmSr_61MMBqrmx66Ofqs

Answer 1

签名只是使用身份验证服务器生成的密钥进行哈希处理，使用标头中指定的算法，标头，有效负载和密钥的组合

只有认证和/或应用程序服务器知道该密钥。JWT 已编码和签名，但未加密。要了解签名/哈希和加密之间的区别，请检查此内容

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

签名只是验证或验证消息在使用标头中指定的相同类型的算法之前是否已散列，该算法具有只有服务器知道的机密。

要了解它在身份验证中的工作原理，这里有一个流程：

用户
• 登录，您通过https以加密方式将用户/通行证发送到服务器
• 服务器验证来自数据库的用户名/传递
• 服务器生成一个 JWT 并将其发送回给您，此处使用签名来验证消息在此过程中未更改。
• 服务器将 JWT 保存在会话存储中的某个位置。
• 稍后，用户请求服务器（每次需要服务器的内容时发送JWT）
• 服务器使用与存储在其中的标头和机密中相同类型的哈希算法对其进行验证。
• 硒RVER 检查它是否已存在于会话存储中。
• 服务器授权并授予您请求的权限。

我建议您阅读这篇更具描述性的文章，以更好地了解它的工作原理。

Answer 2

问题 1 - 签名是不是只有身份验证服务器知道的密钥（不是用户的密码）（有点像服务器的私钥）？

不，电子签名是使用密钥应用于 JWT 有效载荷的数学计算。目的是确保消息未被更改，并识别签名者以验证 JWT

问题 2 - 假设我正在使用单独的应用程序服务器和身份验证服务器，在从客户端接收 JWT 时，应用程序服务器是否会将 JWT 发送到身份验证服务器以进行验证？我想应用程序服务器无法验证 JWT 令牌，因为它不知道用于对标头和有效负载进行签名的密钥。

不一定。如果使用对称密钥 （HMAC），则签名和验证密钥相同。在这种情况下，授权服务器必须知道密钥或发送令牌进行验证。但是，如果使用非对称密钥（RSA、ECDSA），则签名密钥与验证密钥不同。授权服务器可以安全地拥有公钥的副本

问题 3 - 我拿了下面的 JWT 并将其粘贴到 jwt.io 上。我看到消息“签名已验证”。jwt.io 怎么知道签名是正确的，因为它不知道密钥。

jwt.io 或任何想要验证令牌的人都需要密钥。请注意，如果在 jwt.io 中复制并粘贴令牌，则不会验证签名，但如果更改密钥，编辑器会自动更改签名，此时创建一个新令牌