JWT（JSON Web Token）

JSON Web Token 以紧凑格式传递声明。本练习平台使用 JWS 紧凑形式的签名 JWT：三个 base64url 编码段分别表示头部、载荷和签名。JWT 也支持 JWE 加密，因此并非所有 JWT 都是可读取的三段式令牌。

工作原理

将令牌作为 Bearer 凭据发送。验证方必须限制允许的算法，使用可信密钥验证签名，并检查应用要求的签发者、受众和时间声明。能够解码载荷不代表其中的信息可信。

误解

签名不会加密 JWS 载荷；持有本平台练习令牌的人都能读取它。JWT 也支持通过 JWE 加密。自包含令牌不会自动撤销；立即撤销需要额外控制，例如拒绝列表、令牌版本检查或内省。

点击这里试试

使用 admin/admin123 执行`POST /auth/v1/login`会生成一个真正签名的 JWT。解码中间部分并读取你自己的声明；然后等待它过期，并观察 401 错误。

相关内容

• 测试 OAuth 2.0、JWT 和令牌过期时间
• What a bearer token is

资料来源

• OAuth 2.0 — RFC 6749
• JWT — RFC 7519
• JWT best practices — RFC 8725

其他术语

• Bearer 令牌 — 一种凭证，持有者即可获得访问权限——谁持有它就可以使用它。
• JWKS — JSON Web 密钥集——发行者发布的公钥，以便任何人都可以验证其签名的代币。
• 刷新令牌 — 仅用于获取新的短期访问令牌的长期凭证，无需用户再次登录。
• OAuth 2.0 — 该标准框架允许应用程序获取有限的访问令牌，而不是处理用户的密码。
• PKCE — 代码交换证明密钥——一次性密钥，可防止被盗的 OAuth 授权码被其他人兑换。
• OpenID Connect — 在 OAuth 2.0 之上的身份层，通过签名 ID 令牌告诉客户端用户是谁。

阅读英文版

所有术语 · 测试技巧 · 全部 39 个模拟 REST API

最后更新时间 2026年10月16日