面试题答案
一键面试JWT在分布式会话管理中的工作原理
- 生成令牌：用户在客户端输入凭据（如用户名和密码）进行登录。服务器端验证这些凭据，如果验证通过，服务器会生成一个JSON Web Token（JWT）。JWT 通常由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。
- 头部：包含两部分信息，令牌的类型（通常是JWT）和使用的哈希算法，如HMAC SHA256或RSA。例如：
{ "alg": "HS256", "typ": "JWT" }。然后对头部进行Base64Url编码，形成JWT的第一部分。 - 载荷：是存放实际需要传递的数据的地方，这些数据被称为声明（claims）。声明可以是用户相关信息，如用户ID、用户名、用户角色等，也可以包含其他元数据，如过期时间等。例如：
{ "sub": "1234567890", "name": "John Doe", "iat": 1516239022, "exp": 1516239022 + 3600 }（iat表示签发时间，exp表示过期时间）。同样对载荷进行Base64Url编码，形成JWT的第二部分。 - 签名：为了创建签名部分，需要使用编码后的头部、编码后的载荷、一个密钥（secret）以及在头部中指定的签名算法。例如，如果使用HMAC SHA256算法，签名会按照这样的公式生成：
HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)。这个签名用于验证消息在传递过程中有没有被更改，并且，当使用私钥签名时，还可以验证JWT的发送者的身份。
- 头部：包含两部分信息，令牌的类型（通常是JWT）和使用的哈希算法，如HMAC SHA256或RSA。例如：
- 令牌传输：服务器将生成的JWT发送回客户端。客户端通常会将JWT存储在本地，如
localStorage、sessionStorage或cookie中。 - 后续请求：在后续的请求中，客户端会将JWT包含在请求头中，一般是
Authorization头，格式为Bearer <token>。例如：Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c。 - 服务器验证：服务器接收到请求后，从请求头中提取JWT。然后使用与生成签名时相同的密钥和算法来验证签名的有效性。如果签名验证通过，服务器可以从JWT的载荷中获取用户相关信息，如用户ID和角色等，从而进行相应的授权决策，确定该用户是否有权限访问请求的资源。
JWT相较于传统会话管理方式的优势
- 无状态：传统会话管理方式中，服务器需要在内存或存储中保存会话信息，以识别用户身份和状态。而JWT是无状态的，服务器不需要存储任何会话相关数据。服务器每次接收到请求，通过验证JWT就能确定用户身份和权限，这使得服务器更容易实现水平扩展，因为每个服务器实例都可以独立处理请求，无需共享会话状态，提高了系统的可伸缩性。
- 便于分布式部署：在分布式系统中，不同的服务可能运行在不同的服务器上。使用JWT，每个服务都可以独立验证JWT的有效性，无需在多个服务之间共享会话数据或进行额外的会话同步操作。这简化了分布式系统的架构设计，降低了服务间的耦合度，使得各个服务可以更加独立地进行开发、部署和维护。
- 跨域支持好：由于JWT通常存储在客户端（如
localStorage）并通过请求头发送给服务器，它在跨域场景下使用更加方便。与传统会话管理依赖于cookie不同，cookie在跨域时会面临诸多限制，而JWT不受这些限制，能够在不同域名的服务之间轻松传递用户身份信息，有利于实现前后端分离架构和微服务架构下的跨域交互。 - 易于理解和实现：JWT的结构简单，由头部、载荷和签名三部分组成，并且采用JSON格式。开发人员很容易理解其工作原理和组成部分，实现起来相对简单。无论是在后端服务器生成和验证JWT，还是在前端客户端存储和发送JWT，都有丰富的库和工具可供使用，降低了开发成本。
- 安全：虽然JWT的载荷是Base64Url编码的，但并不意味着它是加密的。不过，通过签名机制，保证了数据的完整性和真实性。只要密钥不泄露，攻击者就无法篡改JWT中的数据。并且，可以通过设置合理的过期时间（
exp声明）来限制JWT的有效时长，进一步提高安全性。在一些场景下，如果需要对数据进行加密，可以结合其他加密技术对JWT进行处理。