jwt是什么？为什么jwt可以防止篡改？

　　jwt是什么?JWT(JSON Web Token)是一种用于身份验证和授权的开放标准(RFC 7519)，它通过在网络应用之间传输信息的方式来安全地传递声明。JWT由三部分组成：头部(Header)、载荷(Payload)和签名(Signature)。下面对JWT的结构和为何能够防止篡改进行详细解释。

　　1. JWT的结构：

　　- 头部(Header)：包含了JWT的类型和签名算法等信息。头部一般由两部分组成，类型是"JWT"，算法通常使用HMAC SHA256或RSA等。

　　- 载荷(Payload)：包含了一组声明(claims)，用于描述用户或其他实体的信息。载荷可以包含标准声明(比如用户ID、过期时间)和自定义声明。载荷的内容是可读的，但不能信任，因为它没有经过签名验证。

　　- 签名(Signature)：使用密钥对头部和载荷进行签名，以确保JWT的完整性和认证。签名的过程是将头部和载荷以及一个密钥作为输入，通过指定的签名算法生成签名。接收方可以使用相同的密钥和算法对签名进行验证。

　　2. JWT防止篡改的原理：

　　- 完整性保护：JWT使用签名来保护其完整性。当生成JWT时，将头部和载荷与密钥进行签名，生成签名部分。在接收到JWT后，接收方可以使用相同的密钥对头部和载荷进行验证，以确保JWT没有被篡改过。如果接收方验证失败，即签名无效，说明JWT被篡改过，将被拒绝。

　　- 加密载荷：可以选择对JWT的载荷进行加密，使其在传输过程中不可读。加密后的载荷需要在接收方解密后才能使用，确保敏感信息不会被窃取。

　　- 时间限制：JWT中可以设置过期时间(exp)，一旦过期，接收方将拒绝使用该JWT。这个时间限制强制了JWT的时效性，降低了被攻击者重复使用JWT的可能性。

　　JWT之所以能够防止篡改，是因为它使用了数字签名来验证其完整性和真实性。签名是由密钥生成的，只有知道密钥的人才能够生成有效的签名。当接收方收到JWT时，它会使用相同的密钥进行验证，如果签名无效，说明JWT已经被篡改过。这样就保证了JWT在传输过程中的安全性，并确保了身份验证和授权的可靠性。同时，JWT还可以通过加密载荷来保护敏感信息，提供了更高的安全性保障。