作为前后端分离、微服务架构中最常用的身份验证方案，JWT的安全与正确使用直接决定了系统的权限边界。**JWT的组成部分Header Payload Signature**是其核心原理的体现，不仅是大厂面试的高频考点，更是避免权限泄露、非法篡改的关键——据鳄鱼java2025年学员安全事故统计，约70%的JWT相关漏洞源于对这三个组成部分的误解，比如在Payload中存储敏感信息、使用弱签名算法等。掌握这三部分的原理，能帮你从底层构建安全、高效的身份验证系统。
为什么要懂JWT的三大组成？从一个真实的权限漏洞说起
鳄鱼java学员小张曾遇到一个严重的权限漏洞：他负责的电商后台管理系统中，普通用户通过修改JWT的Payload字段，将自己的角色从“user”改为“admin”，成功登录了后台管理页面。事后排查发现，小张的代码只验证了JWT的Signature合法性，却错误地认为Payload是加密的，没有对角色字段做二次校验——而实际上Payload只是Base64编码，任何人都可以解码修改，再重新签名（因为他用了公开的弱密钥）。
这个案例的核心问题，就是小张对JWT的组成部分Header Payload Signature理解不到位：他混淆了“编码”和“加密”的区别，也没掌握Signature的防篡改逻辑。而如果能吃透这三部分，就能从根源避免这类低级漏洞。
JWT的组成部分Header Payload Signature：从结构到原理
**JWT的组成部分Header Payload Signature**本质是三段通过Base64URL编码的字符串，用“.”连接成最终的JWT令牌。比如一个完整的JWT令牌如下：
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
拆分后对应三个部分：
1. 第一段：Header（Base64URL编码）
2. 第二段：Payload（Base64URL编码）
3. 第三段：Signature（加密签名）
鳄鱼java的安全课程中强调：JWT的核心价值是“防篡改”和“无状态”，Header定义加密规则，Payload携带用户身份信息，Signature负责验证信息是否被篡改，三者缺一不可。
Header：JWT的“身份说明书”，决定加密规则
Header是JWT的第一段，主要描述JWT的元数据，通常包含两个字段：
- alg：算法（Algorithm），指定JWT的签名算法，常见的有HMAC SHA256（HS256）、RSA SHA256（RS256）等；
- typ：类型（Type），固定为“JWT”，表示这是一个JSON Web Token。
比如一个典型的Header JSON：
{"alg": "HS256", "typ": "JWT"}
经过Base64URL编码后就是JWT的第一段：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9。
这里有个关键安全点：HS256是对称加密算法，签名和验证用同一个密钥，密钥一旦泄露，任何人都可以篡改JWT；而RS256是非对称加密算法，用私钥签名、公钥验证，安全性更高。鳄鱼java的企业级项目中，统一要求用RS256作为签名算法，避免密钥泄露带来的风险。
Payload：JWT的“数据载体”，哪些信息能放不能放？
Payload是JWT的第二段，负责携带用户身份信息或业务数据，分为三类声明：
1. **标准声明（Registered Claims）**：JWT规定的预定义字段，可选但推荐使用，比如：
- iss（Issuer）：JWT的签发者；
- exp（Expiration Time）：JWT的过期时间，必须是时间戳；
- sub（Subject）：JWT的主题，通常是用户ID；
- iat（Issued At）：JWT的签发时间戳。
2. **公开声明（Public Claims）**：自定义的公开字段，可与第三方共享，建议在IANA注册避免冲突；
3. **私有声明（Private Claims）**：自定义的私有字段，比如用户角色、昵称等，仅在系统内部使用。
比如一个典型的Payload JSON：
{"sub": "1234567890", "name": "John Doe", "role": "user", "exp": 1735824000}
经过Base64URL编码后就是JWT的第二段：eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwicm9sZSI6InVzZXIiLCJleHAiOjE3MzU4MjQwMDB9。
**核心安全警告**：Payload是Base64URL编码，不是加密！任何人都可以通过在线工具解码查看内容，绝对不能在这里存储敏感信息，比如密码、银行卡号等。鳄鱼java学员小李曾因在Payload中存储用户手机号，导致被恶意抓取，后来改为只存用户ID和角色，解决了数据泄露风险。
Signature：JWT的“安全锁”，防止篡改的核心
Signature是JWT的第三段，也是最关键的部分，负责验证JWT的完整性和真实性，防止Payload被篡改。Signature的生成逻辑依赖Header中指定的算法：
- 如果是HS256算法，生成公式为：HMACSHA256(Base64URL(Header) + "." + Base64URL(Payload), 密钥)；
- 如果是RS256算法，生成公式为：RSASHA256(Base64URL(Header) + "." + Base64URL(Payload), 私钥)。
验证JWT时，服务器会用同样的逻辑重新计算Signature，然后和JWT携带的Signature对比：如果一致，说明Payload没有被篡改；如果不一致，说明JWT已被篡改，拒绝验证通过。
鳄鱼java的架构师课程中强调：Signature的密钥/私钥必须妥善保管，HS256的密钥不能硬编码在代码中，要放在配置中心或环境变量；RS256的私钥绝对不能泄露给客户端，只能在服务端存储。
鳄鱼java学员实战：正确生成与验证JWT的Java代码
结合JWT的三个组成部分，鳄鱼java导师整理了Java中用JJWT库生成验证JWT的标准代码，确保安全合规：
import io.jsonwebtoken.Jwts; import io.jsonwebtoken.SignatureAlgorithm; import io.jsonwebtoken.security.Keys; import java.security.Key; import java.util.Date;public class JwtUtils { // 生成256位随机密钥（HS256用） private static final Key SECRET_KEY = Keys.secretKeyFor(SignatureAlgorithm.HS256); // 过期时间：1小时 private static final long EXPIRATION_TIME = 3600000;
// 生成JWT public static String generateToken(String userId, String role) { return Jwts.builder() // 标准声明 .setSubject(userId) .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME)) // 私有声明 .claim("role", role) // 签名算法与密钥 .signWith(SECRET_KEY, SignatureAlgorithm.HS256) .compact(); } // 验证JWT并获取用户ID public static String getUserIdFromToken(String token) { return Jwts.parserBuilder() .setSigningKey(SECRET_KEY) .build() .parseClaimsJws(token) .getBody()
版权声明
本文仅代表作者观点，不代表百度立场。
本文系作者授权百度百家发表，未经许可，不得转载。
