Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
中文
Entry № 574

JWT(JSON Web Token)

JWT(JSON Web Token) 是什么?

JWT(JSON Web Token)紧凑、URL 安全的令牌格式(RFC 7519),携带带签名的 JSON 声明,广泛用作访问令牌、ID 令牌和会话载体。

JSON Web Token 是由三段 Base64URL 编码、点号连接的字符串:头部、载荷和签名。头部声明签名算法;载荷携带 iss、sub、aud、exp 等标准声明以及自定义数据;签名让接收方校验完整性与来源。JWT 可以被签名(JWS)或加密(JWE),是 OAuth 2.0、OpenID Connect 以及服务间认证的核心。无状态特性便于水平扩展,但难以撤销。务必在服务端固定算法,校验 aud、iss 和 exp,采用较短有效期,并与 refresh token 或令牌内省机制配合。

● 示例

  1. 01

    由 RS256 签名并返回给单页应用的 OIDC ID 令牌。

  2. 02

    包含 { "sub": "u123", "scope": "read:profile", "exp": 1734567890 } 的访问令牌。

● 常见问题

JWT(JSON Web Token) 是什么?

紧凑、URL 安全的令牌格式(RFC 7519),携带带签名的 JSON 声明,广泛用作访问令牌、ID 令牌和会话载体。 它属于网络安全的 身份与访问 分类。

JWT(JSON Web Token) 是什么意思?

紧凑、URL 安全的令牌格式(RFC 7519),携带带签名的 JSON 声明,广泛用作访问令牌、ID 令牌和会话载体。

JWT(JSON Web Token) 是如何工作的?

JSON Web Token 是由三段 Base64URL 编码、点号连接的字符串:头部、载荷和签名。头部声明签名算法;载荷携带 iss、sub、aud、exp 等标准声明以及自定义数据;签名让接收方校验完整性与来源。JWT 可以被签名(JWS)或加密(JWE),是 OAuth 2.0、OpenID Connect 以及服务间认证的核心。无状态特性便于水平扩展,但难以撤销。务必在服务端固定算法,校验 aud、iss 和 exp,采用较短有效期,并与 refresh token 或令牌内省机制配合。

如何防御 JWT(JSON Web Token)?

针对 JWT(JSON Web Token) 的防御通常结合技术控制与运营实践,详见上方完整定义。

JWT(JSON Web Token) 还有哪些其他名称?

常见的别称包括: JSON Web Token。

● 相关术语

● 参见