jwt載體加密
1. jwt作為取代session-cookie機制的替代，實際運用會存在什麼問題
為什麼要使用jwt，讓網路數據更加安全，以防其他一些人無意惡搞
降低了session驗證的性能消耗。
JWT是 Auth0 提出的通過對JSON進行加密簽名來實現授權驗證的方案，編碼之後的JWT看起來是這樣的一串字元：
..
由.分為三段，通過解碼可以得到：
// 1. Headers
// 包括類別（typ）、加密演算法（alg）；
{
"alg": "HS256",
"typ": "JWT"
}
// 2. Claims
// 包括需要傳遞的用戶信息；
{
"sub": "1234567890",
"name": "John Doe",
"admin": true
}
// 3. Signature
HMACSHA256(
base64UrlEncode(header) + "." +
base64UrlEncode(payload),
SECREATE_KEY
)
在使用過程中，服務端通過用戶登錄驗證之後，將Header+Claim信息加密後得到第三段簽名，然後將簽名返回給客戶端，在後續請求中，服務端只需要對用戶請求中包含的JWT進行解碼，即可驗證是否可以授權用戶獲取相應信息.
使用JWT可以省去服務端讀取Session的步驟，這樣更符合RESTful的規范。但是對於客戶端（或App端）來說，為 了保存用戶授權信息，仍然需要通過Cookie或類似的機制進行本地保存。因此JWT是用來取代服務端的Session而非客戶端Cookie的方案，當 然對於客戶端本地存儲，HTML5提供了Cookie之外更多的解決方案（localStorage/sessionStorage），究竟採用哪種存儲 方式，其實從Js操作上來看沒有本質上的差異，不同的選擇更多是出於安全性的考慮。
2. laraveljwt檢查是否攜帶token
攜帶的。
Jsonwebtoken(JWT)，是為了在網路應用環境間傳遞聲明而執行的一種基於JSON的開放標准（(RFC7519).該token被設計為緊湊且安全的，特別適用於分布式站點的單點（SSO）場景。
JWT的聲明一般被用來在身份提供者和服務提供者間傳遞被認證的用戶身份信息，以便於從資源伺服器獲取資源，也可以增加一些額外的其它業務邏輯所必須的聲明信息，該token也可直接被用於認證，也可被加密。
3. jwt需要存redis嗎
JWT是JSON WEB TOKEN的縮寫，它是基於 RFC 7519 標準定義的一種可以安全傳輸的的JSON對象，由於使用了數字簽名，所以是可信任和安全的。
JWT的組成
JWT token的格式：header.payload.signature
header中用於存放簽名的生成演算法
{"alg": "HS512"}Copy to clipboardErrorCopiedpayload中用於存放用戶名、token的生成時間和過期時間
{"sub":"admin","created":1489079981393,"exp":1489684781}Copy to clipboardErrorCopiedsignature為以header和payload生成的簽名，一旦header和payload被篡改，驗證將失敗
//secret為加密演算法的密鑰 String signature = HMACSHA512(base64UrlEncode(header) + "." +base64UrlEncode(payload),secret)
4. 如何在Java 中創建和驗證JWT
用戶發起登錄請求，服務端創建一個加密後的jwt信息，作為token返回值，在後續請求中jwt信息作為請求頭，服務端正確解密後可獲取到存儲的用戶信息，表示驗證通過；解密失敗說明token無效或者已過期。
加密後jwt信息如下所示，是由.分割的三部分組成，分別為Header、Payload、Signature。
eyJhbGciOiJIUzI1NiJ9..vW-
Header包含兩部分信息，alg指加密類型，可選值為HS256、RSA等等，typ=JWT為固定值，表示token的類型。
{
"alg": "HS256",
"typ": "JWT"
}
Payload是指簽名信息以及內容，一般包括iss (發行者), exp (過期時間), sub(用戶信息), aud (接收者),以及其他信息，詳細介紹請參考官網。
{
"sub": "1234567890",
"name": "John Doe",
"admin": true
}
Signature則為對Header、Payload的簽名。
HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)
在jwt官網，可以看到有不同語言的實現版本，這里使用的是Java版的jjwt。話不多說，直接看代碼，加解密都很簡單：
/**
* 創建 jwt
* @param id
* @param subject
* @param ttlMillis
* @return
* @throws Exception
*/
public String createJWT(String id, String subject, long ttlMillis) throws Exception {
SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256 ;
long nowMillis = System. currentTimeMillis();
Date now = new Date( nowMillis);
SecretKey key = generalKey();
JwtBuilder builder = Jwts. builder()
.setId(id)
.setIssuedAt(now)
.setSubject(subject)
.signWith(signatureAlgorithm, key);
if (ttlMillis >= 0){
long expMillis = nowMillis + ttlMillis;
Date exp = new Date( expMillis);
builder.setExpiration( exp);
}
return builder.compact();
}
/**
* 解密 jwt
* @param jwt
* @return
* @throws Exception
*/
public Claims parseJWT(String jwt) throws Exception{
SecretKey key = generalKey();
Claims claims = Jwts. parser()
.setSigningKey( key)
.parseClaimsJws( jwt).getBody();
return claims;
}
加解密的key是通過固定字元串轉換而生成的；subject為用戶信息的json字元串；ttlMillis是指token的有效期，時間較短，需要定時更新。
這里要介紹的token刷新方式，是在生成token的同時生成一個有效期較長的refreshToken，後續由客戶端定時根據refreshToken來獲取最新的token。瀏覽器與服務端之間建立sse(server send event)請求，來實現刷新。關於sse在前面博文中有介紹過，此處略過不提。
5. 關於文件加密和刪除的問題
最好的辦法就是硬碟分區格式化。
比如說你這個文件在D盤，那麼你在D盤上按右鍵，點格式化，在格式化選項點快速格式化，確定，D盤所有文件被清理（確定D盤裡面的文件不需要）
6. cookie有哪些機制可以提高安全性
為什麼要使用jwt，讓網路數據更加安全，以防其他一些人無意惡搞降低了session驗證的性能消耗。JWT是Auth0提出的通過對JSON進行加密簽名來實現授權驗證的方案，編碼之後的JWT看起來是這樣的一串字元：..由.分為三段，通過解碼可以得到：//1.Headers//包括類別（typ）、加密演算法（alg）；{"alg":"HS256","typ":"JWT"}//2.Claims//包括需要傳遞的用戶信息；{"sub":"1234567890","name":"JohnDoe","admin":true}//3.SignatureHMACSHA256(base64UrlEncode(header)+"."+base64UrlEncode(payload),SECREATE_KEY)在使用過程中，服務端通過用戶登錄驗證之後，將Header+Claim信息加密後得到第三段簽名，然後將簽名返回給客戶端，在後續請求中，服務端只需要對用戶請求中包含的JWT進行解碼，即可驗證是否可以授權用戶獲取相應信息.使用JWT可以省去服務端讀取Session的步驟，這樣更符合RESTful的規范。但是對於客戶端（或App端）來說，為了保存用戶授權信息，仍然需要通過Cookie或類似的機制進行本地保存。因此JWT是用來取代服務端的Session而非客戶端Cookie的方案，當然對於客戶端本地存儲，HTML5提供了Cookie之外的解決方案（localStorage/sessionStorage），究竟採用哪種存儲方式，其實從Js操作上來看沒有本質上的差異，不同的選擇是出於安全性的考慮。
7. python jwt 加密為很么不行，大神幫忙瞧瞧
private_key = b'-----BEGIN PRIVATE KEY-----\nMIGEAgEAMBAGByqGSM49AgEGBS...'
'-----BEGIN PRIVATE KEY-----\n'這後面的數據每64個字元加個\n分割一下試試
8. jwt有什麼用
JWT是JSON WEB TOKEN的縮寫，它是基於 RFC 7519 標準定義的一種可以安全傳輸的的JSON對象，由於使用了數字簽名，所以是可信任和安全的。
JWT token的格式：header.payload.signature
header中用於存放簽名的生成演算法
{"alg": "HS512"}Copy to clipboardErrorCopiedpayload中用於存放用戶名、token的生成時間和過期時間
{"sub":"admin","created":1489079981393,"exp":1489684781}Copy to clipboardErrorCopiedsignature為以header和payload生成的簽名，一旦header和payload被篡改，驗證將失敗
//secret為加密演算法的密鑰 String signature = HMACSHA512(base64UrlEncode(header) + "." +base64UrlEncode(payload),secret)
9. 請問一下以下數據加密格式是啥呢
一看就是標準的：base64
10. jwt的token怎麼生存的
引入依賴包加密解密方法。
在生產環境中，一般jwt會保存用戶的名字和角色許可權等信息。可以將token寫到cookie里，每次前端訪問後台時，可以在攔截器或者過濾器取到token，然後解密，先判斷是否過期，過期就拋異常阻止其訪問。然後取出信息保存到threadLocal里，方便以後調用這些信息，當後台訪問完成後，從thredLocal刪除此用戶信息。
伺服器認證以後，生成一個JSON格式的對象返回給客戶端。之後客戶端與服務端通信的時候，都要發回這個JSON對象。伺服器完全根據這個對象認證用戶身份。