指南

JWT 安全检查清单

安全使用 JWT 的关键原则简要清单。

拒绝 alg=none 和意料之外的算法；只允许你所期望的算法。
载荷并未加密，因此切勿在其中放入密码、个人信息等敏感数据。
用 exp 缩短有效期；必要时用 nbf·jti 控制有效区间与重用。
验证签名时，还要检查 iss·aud 是否与预期值一致。
密钥必须足够长且随机，且绝不能暴露给客户端。

亲自解码一个令牌吧只需粘贴，头部、载荷和声明立即展开。

打开解码器

相关条目

JWT（JSON Web Token）是一种经过签名的小型 JSON 令牌格式，用于在各方之间安全地传递信息。

JWT 的三部分结构

每个 JWT 都由 header.payload.signature 三部分组成，每部分都经 base64url 编码。

JWT 与会话认证的对比

基于令牌（JWT）的认证与基于服务器会话（Cookie）的认证的区别及选择依据。

常见 JWT 错误及解决

处理 JWT 时最常遇到的错误及其原因与解决方法。

访问令牌与刷新令牌

短寿命的访问令牌，以及用于续发它的刷新令牌各自的作用。