JWT是什么？JWT的结构与解码方法

登录后拿到的 eyJhbGciOi... 长串就是 JWT。它由三段点号分隔，本文拆开讲清每段内容和安全边界。

一、三段结构

JWT 由 Header（算法和类型）、Payload（声明数据）、Signature（签名）三段组成，点号分隔后分别 Base64Url 编码。Header 和 Payload 只是编码不是加密，任何人都能解开看内容。

二、签名原理

签名 = HMAC( Header + . + Payload , secret )。服务端用密钥重新计算签名并与 Token 中的比对，一致则未被篡改。这就是 JWT 无需服务端存储也能验证的原因。

三、Payload 常见字段

iss 签发者、sub 主题（用户 ID）、exp 过期时间、iat 签发时间、nbf 生效时间、jti 唯一标识。exp 是 Unix 时间戳，过期后服务端应拒绝。

四、安全注意

绝不在 Payload 放密码等敏感信息（因为只是 Base64 编码）；密钥必须足够复杂且只存服务端； Token 签发后无法主动作废，敏感操作需配合黑名单或短有效期加刷新机制。