JWT 编码器 & 解码器：在线解析和生成 JSON Web Token

什么是 JSON Web Token（JWT）？

JWT（基于IETF组织确立的RFC 7519标准化文件），通常被拿来当作安全传输凭证。最大用途便在于无状态（Stateless）系统登录，允许海量服务器根据独立的一长串令牌就能确定“你是何人，有无权限访问”，并且摆脱对中心数据库频繁查阅的负担。

它长得非常奇特，由三个不同的被Base64url打包的数据群块依靠“原点/小数点”拼接而生：

若想要确保内容被“连看都看不见”，不仅是防篡改，应当立刻舍弃目前的模式更换至更严厉的 JSON网页加密协议(JWE)。

操作实战教学路线

1. 锁定或收集由系统颁发的令牌字符串文件
2. 直接毫不保留的丢尽工具的核心输入区域内
3. 实时查阅被解包的透明JSON文件
4. 审时度势了解代币生命倒计时是否过期
5. 参考并排除安全警告隐报
6. 利用参照表深度评估自己的内部属性（声明值）声明类型
7. 运用提供并集成好的防御性后端代码导入企业服务器

传统服务器 Session 还是新世代 JWT?

你应该使用JWT: 在你苦于服务端查数据库造成网络瓶颈并在做大型可伸展系统时（客户端自我验证）。

你应该使用Session: 不能容忍一秒延迟与无法阻断账户且对流量毫不介意甚至极其严格的大型传统垄断结构应用。

解析常用哈希算法及其选择

最佳的实践规范选择必然是 RS256/ES256 这类型的分钥匙管理： 你只需妥善锁紧创建签发的那把私钥，就可以大胆在外分发公钥让其他程序鉴别你的身份真实性了。

后端防御JWT实战黄金法则

• 你的服务器后院一定要有对任何入网的Token签名进行死脑筋级别的完整性哈希解包和校验审核。绝不全信客户端的数据包和JSON明文。
• 坚守寿命超短制，保证每一个JWT活不过数分钟或极短小时。这是抑制窃贼长期霸占的最佳利器。
• 别作茧自缚的把财务数据或者明文敏感密码投入JWT中心区域。它相当于在明信片背后写密码，无人不知。
• 切断老式连接网络端口只放行SSL与最严格的强TLS通道网络来投递这些Token防止空中接力劫持抓包(Man-In-Middle)。
• 将这无所不能的令牌深深按入浏览器具有 httpOnly 和 Secure 法令禁忌的本地 Cookie之中去阻止恶棍前端Xss爬虫木马抓走它。
• 搭建短期控制与持久刷新交替机制(双Token，刷新机制刷新更短控制令牌确保续航及高可控度)。
• 仔细核查和防漏签发人 (Issuer) 与它的指向客户 (Aud)。跨服务的令牌不能乱刷，别让A公司Token跑到B公司后端被认可。
• 写上硬编码防火墙阻挡企图携带 None 代号钻进你机器进行免认证的高级危险渗透型请求。
• 留出后备方案，若想踢走高风险人员或者提前抹杀没过期的漏洞账户，引入Redis系统设立“死亡黑名单制(Denylisting/Blocklisting)”。

自动编程及代码生成范文演示

引入下列框架标准在各个高级程序后端运行实施。

// Decode without verification (read-only, same as this tool)
function decodeJWT(token) {
  const [header, payload] = token.split('.');
  const decode = str => JSON.parse(atob(str.replace(/-/g, '+').replace(/_/g, '/')));
  return { header: decode(header), payload: decode(payload) };
}

const { header, payload } = decodeJWT(yourToken);
console.log(payload.exp); // expiry timestamp

import base64, json

def decode_jwt_payload(token):
    payload = token.split('.')[1]
    # Add padding
    payload += '=' * (4 - len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload))

claims = decode_jwt_payload(your_token)
print(claims['exp'])  # expiry timestamp

import (
    "encoding/base64"
    "encoding/json"
    "strings"
)

func decodeJWTPayload(token string) (map[string]interface{}, error) {
    parts := strings.Split(token, ".")
    payload, _ := base64.RawURLEncoding.DecodeString(parts[1])
    var claims map[string]interface{}
    json.Unmarshal(payload, &claims)
    return claims, nil
}

结语及其它告诫

JWT能一改高吞吐平台数据冗杂疲软，令多微平台互通无阻且极为平滑、是解决系统并发查询身份时的金锁玉钥；但前提得警惕任何暴露信息。莫把一切大包大揽进这透明盒体内。