文章总结： 本文介绍了JSONWebToken(JWT)的基础知识，包括其原理、结构及应用场景。JWT是一种开放标准，用于在各方之间安全传输信息，常用于用户认证和信息交换。其结构由Header、Payload和Signature三部分组成，用点分隔。关键安全提示是Payload仅Base64编码未加密，不可存放敏感信息。文章源自CTFHub平台，适合安全学习。 综合评分： 74 文章分类： WEB安全,安全意识,CTF

CTFHub：第八十一章——JSON Web Token——基础知识

原创

君陌社区 君陌社区

君陌社区渗透安全笔记

2026年7月10日 19:30 江苏

在小说阅读器读本章

去阅读

CTFHub网址:【https://www.ctfhub.com/#/index】

登录账号 点击技能树

选择“web进阶- JSON Web Token-基础知识”开启题目

题目描述: 学习什么是 JWT

由于题目附件无法打开所以本章我们就来学习一下JWT的知识

一、JSON Web Token原理

JSON Web Token，简称 JWT，是一种开放标准。它定义了一种紧凑且自包含的方式，用于在各方之间安全地将信息作为 JSON 对象传输。JWT 主要用于两个场景：

1.认证：当用户登录成功后，服务器会生成一个JWT并返回给客户端。之后，客户端在每次请求时都带上这个JWT，服务器通过验证JWT来确认用户的身份。这就是所谓的“基于令牌的认证”

2.安全的信息交换：JWT可以本签名，就可以确保发送方的身份。由于签名是基于头部和有效负载计算的，还可以验证内容是否在传输过程中被篡改

二、JWT的结构（三部分，用.分隔）

Header.Payload.Signature

1.Header：算法和类型，如 {“alg”:”HS256″,”typ”:”JWT”}

2.Payload：实际数据（用户ID、角色等），仅Base64编码，未加密

3.Signature：对前两部分用密钥签名，防止篡改

关键知识：Payload是明文可见的，绝不可存放密码等敏感信息。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：君陌社区渗透安全笔记 君陌社区 君陌社区《CTFHub：第八十一章——JSON Web Token——基础知识》