为什么需要 JWT Token 签名密钥答案

【问题标题】：Why JWT Token signing key is required为什么需要 JWT Token 签名密钥
【发布时间】：2021-01-13 17:13:14
【问题描述】：

JWT 令牌需要签名密钥才能对其进行解码，但在 https://jwt.io/ 中无需任何签名密钥即可解码，这怎么可能。

【问题讨论】：

标签： jwt

【解决方案1】：

您不需要密钥来打开编码，您需要一个密钥来验证没有人更改 JWT 的内容。实际上，您看到的字符串只是 json 的 base64，其中包含您的信息、元数据和所有内容的“签名”。

签名是 JSON Web Token (JWT) 中最重要的部分。签名是通过使用 Base64url 编码对标头和有效负载进行编码并将它们与句点分隔符连接起来来计算的。然后将其提供给加密算法。

// signature algorithm
data = base64urlEncode( header ) + “.” + base64urlEncode( payload )
signature = HMAC-SHA256( data, secret_salt )

因此，当标头或有效负载发生变化时，必须重新计算签名。只有Identity Provider(IdP)有私钥来计算签名，防止token被篡改。

【讨论】：