作为前后端分离、微服务架构中最常用的身份验证方案，JWT的安全与正确使用直接决定了系统的权限边界。**JWT的组成部分Header Payload Signature**是其核心原理的体现，不仅是大厂面试的高频考点，更是避免权限泄露、非法篡改的关键——据鳄鱼java2025年学员安全事故统计，约70%的JWT相关漏洞源于对这三个组成部分的误解，比如在Payload中存储敏感信息、使用弱签名算法等。掌握这三部分的原理，能帮你从底层构建安全、高效的身份验证系统。
为什么要懂JWT的三大组成？从一个真实的权限漏洞说起
鳄鱼java学员小张曾遇到一个严重的权限漏洞：他负责的电商后台管理系统中，普通用户通过修改JWT的Payload字段，将自己的角色从“user”改为“admin”，成功登录了后台管理页面。事后排查发现，小张的代码只验证了JWT的Signature合法性，却错误地认为Payload是加密的，没有对角色字段做二次校验——而实际上Payload只是Base64编码，任何人都可以解码修改，再重新签名（因为他用了公开的弱密钥）。
这个案例的核心问题，就是小张对JWT的组成部分Header Payload Signature理解不到位：他混淆了“编码”和“加密”的区别，也没掌握Signature的防篡改逻辑。而如果能吃透这三部分，就能从根源避免这类低级漏洞。
JWT的组成部分Header Payload Signature：从结构到原理
**JWT的组成部分Header Payload Signature**本质是三段通过Base64URL编码的字符串，用“.”连接成最终的JWT令牌。比如一个完整的JWT令牌如下：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c拆分后对应三个部分：1. 第一段：Header（Base64URL编码）2. 第二段：Payload（Base64URL编码）3. 第三段：Signature（加密签名）
鳄鱼java的安全课程中强调：JWT的核心价值是“防篡改”和“无状态”，Header定义加密规则，Payload携带用户身份信息，Signature负责验证信息是否被篡改，三者缺一不可。
Header：JWT的“身份说明书”，决定加密规则
Header是JWT的第一段，主要描述JWT的元数据，通常包含两个字段：- alg：算法（Algorithm），指定JWT的签名算法，常见的有HMAC SHA256（HS256）、RSA SHA256（RS256）等；- typ：类型（Type），固定为“JWT”，表示这是一个JSON Web Token。
比如一个典型的Header JSON：{"alg": "HS256", "typ": "JWT"}经过Base64URL编码后就是JWT的第一段：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9。
这里有个关键安全点：HS256是对称加密算法，签名和验证用同一个密钥，密钥一旦泄露，任何人都可以篡改JWT；而RS256是非对称加密算法，用私钥签名、公钥验证，安全性更高。鳄鱼java的企业级项目中，统一要求用RS256作为签名算法，避免密钥泄露带来的风险。
Payload：JWT的“数据载体”，哪些信息能放不能放？
Payload是JWT的第二段，负责携带用户身份信息或业务数据，分为三类声明：1. **标准声明（Registered Claims）**：JWT规定的预定义字段，可选但推荐使用，比如：- iss（Issuer）：JWT的签发者；- exp（Expiration Time）：JWT的过期时间，必须是时间戳；- sub（Subject）：JWT的主题，通常是用户ID；- iat（Issued At）：JWT的签发时间戳。2. **公开声明（Public Claims）**：自定义的公开字段，可与第三方共享，建议在IANA注册避免冲突；3. **私有声明（Private Claims）**：自定义的私有字段，比如用户角色、昵称等，仅在系统内部使用。
比如一个典型的Payload JSON：{"sub": "1234567890", "name": "John Doe", "role": "user", "exp": 1735824000}经过Base64URL编码后就是JWT的第二段：eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwicm9sZSI6InVzZXIiLCJleHAiOjE3MzU4MjQwMDB9。
**核心安全警告**：Payload是Base64URL编码，不是加密！任何人都可以通过在线工具解码查看内容，绝对不能在这里存储敏感信息，比如密码、银行卡号等。鳄鱼java学员小李曾因在Payload中存储用户手机号，导致被恶意抓取，后来改为只存用户ID和角色，解决了数据泄露风险。
Signature：JWT的“安全锁”，防止篡改的核心
Signature是JWT的第三段，也是最关键的部分，负责验证JWT的完整性和真实性，防止Payload被篡改。Signature的生成逻辑依赖Header中指定的算法：- 如果是HS256算法，生成公式为：HMACSHA256(Base64URL(Header) + "." + Base64URL(Payload), 密钥)；- 如果是RS256算法，生成公式为：RSASHA256(Base64URL(Header) + "." + Base64URL(Payload), 私钥)。
验证JWT时，服务器会用同样的逻辑重新计算Signature，然后和JWT携带的Signature对比：如果一致，说明Payload没有被篡改；如果不一致，说明JWT已被篡改，拒绝验证通过。
鳄鱼java的架构师课程中强调：Signature的密钥/私钥必须妥善保管，HS256的密钥不能硬编码在代码中，要放在配置中心或环境变量；RS256的私钥绝对不能泄露给客户端，只能在服务端存储。
鳄鱼java学员实战：正确生成与验证JWT的Java代码
结合JWT的三个组成部分，鳄鱼java导师整理了Java中用JJWT库生成验证JWT的标准代码，确保安全合规：
import io.jsonwebtoken.Jwts;import io.jsonwebtoken.SignatureAlgorithm;import io.jsonwebtoken.security.Keys;import java.security.Key;import java.util.Date;public class JwtUtils {// 生成256位随机密钥（HS256用）private static final Key SECRET_KEY = Keys.secretKeyFor(SignatureAlgorithm.HS256);// 过期时间：1小时private static final long EXPIRATION_TIME = 3600000;
// 生成JWTpublic static String generateToken(String userId, String role) {return Jwts.builder()// 标准声明.setSubject(userId).setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))// 私有声明.claim("role", role)// 签名算法与密钥.signWith(SECRET_KEY, SignatureAlgorithm.HS256).compact();}// 验证JWT并获取用户IDpublic static String getUserIdFromToken(String token) {return Jwts.parserBuilder().setSigningKey(SECRET_KEY).build().parseClaimsJws(token).getBody()
