jwt是什么？為什么jwt可以防止篡改？

　　jwt是什么?JWT(JSON Web Token)是一種用于身份驗(yàn)證和授權(quán)的開(kāi)放標(biāo)準(zhǔn)(RFC 7519)，它通過(guò)在網(wǎng)絡(luò)應(yīng)用之間傳輸信息的方式來(lái)安全地傳遞聲明。JWT由三部分組成：頭部(Header)、載荷(Payload)和簽名(Signature)。下面對(duì)JWT的結(jié)構(gòu)和為何能夠防止篡改進(jìn)行詳細(xì)解釋。

　　1. JWT的結(jié)構(gòu)：

　　- 頭部(Header)：包含了JWT的類(lèi)型和簽名算法等信息。頭部一般由兩部分組成，類(lèi)型是"JWT"，算法通常使用HMAC SHA256或RSA等。

　　- 載荷(Payload)：包含了一組聲明(claims)，用于描述用戶(hù)或其他實(shí)體的信息。載荷可以包含標(biāo)準(zhǔn)聲明(比如用戶(hù)ID、過(guò)期時(shí)間)和自定義聲明。載荷的內(nèi)容是可讀的，但不能信任，因?yàn)樗鼪](méi)有經(jīng)過(guò)簽名驗(yàn)證。

　　- 簽名(Signature)：使用密鑰對(duì)頭部和載荷進(jìn)行簽名，以確保JWT的完整性和認(rèn)證。簽名的過(guò)程是將頭部和載荷以及一個(gè)密鑰作為輸入，通過(guò)指定的簽名算法生成簽名。接收方可以使用相同的密鑰和算法對(duì)簽名進(jìn)行驗(yàn)證。

　　2. JWT防止篡改的原理：

　　- 完整性保護(hù)：JWT使用簽名來(lái)保護(hù)其完整性。當(dāng)生成JWT時(shí)，將頭部和載荷與密鑰進(jìn)行簽名，生成簽名部分。在接收到JWT后，接收方可以使用相同的密鑰對(duì)頭部和載荷進(jìn)行驗(yàn)證，以確保JWT沒(méi)有被篡改過(guò)。如果接收方驗(yàn)證失敗，即簽名無(wú)效，說(shuō)明JWT被篡改過(guò)，將被拒絕。

　　- 加密載荷：可以選擇對(duì)JWT的載荷進(jìn)行加密，使其在傳輸過(guò)程中不可讀。加密后的載荷需要在接收方解密后才能使用，確保敏感信息不會(huì)被竊取。

　　- 時(shí)間限制：JWT中可以設(shè)置過(guò)期時(shí)間(exp)，一旦過(guò)期，接收方將拒絕使用該JWT。這個(gè)時(shí)間限制強(qiáng)制了JWT的時(shí)效性，降低了被攻擊者重復(fù)使用JWT的可能性。

　　JWT之所以能夠防止篡改，是因?yàn)樗褂昧藬?shù)字簽名來(lái)驗(yàn)證其完整性和真實(shí)性。簽名是由密鑰生成的，只有知道密鑰的人才能夠生成有效的簽名。當(dāng)接收方收到JWT時(shí)，它會(huì)使用相同的密鑰進(jìn)行驗(yàn)證，如果簽名無(wú)效，說(shuō)明JWT已經(jīng)被篡改過(guò)。這樣就保證了JWT在傳輸過(guò)程中的安全性，并確保了身份驗(yàn)證和授權(quán)的可靠性。同時(shí)，JWT還可以通過(guò)加密載荷來(lái)保護(hù)敏感信息，提供了更高的安全性保障。