delphi開源JWT
開源GIT地址：https://github.com/paolo-rossi/delphi-jose-jwt
JSON Web Token (JWT)是一個開放標准(RFC 7519)，它定義了一種緊湊的、自包含的方式，用於作為JSON對象在各方之間安全地傳輸信息。該信息可以被驗證和信任，因為它是數字簽名的。
下列場景中使用JSON Web Token是很有用的：
- Authorization (授權) : 這是使用JWT的最常見場景。一旦用戶登錄，后續每個請求都將包含JWT，允許用戶訪問該令牌允許的路由、服務和資源。單點登錄是現在廣泛使用的JWT的一個特性，因為它的開銷很小，並且可以輕松地跨域使用。
- Information Exchange (信息交換) : 對於安全的在各方之間傳輸信息而言，JSON Web Tokens無疑是一種很好的方式。因為JWTs可以被簽名，例如，用公鑰/私鑰對，你可以確定發送人就是它們所說的那個人。另外，由於簽名是使用頭和有效負載計算的，您還可以驗證內容沒有被篡改。
JSON Web Token由三部分組成，它們之間用圓點(.)連接。這三部分分別是：
- Header
- Payload
- Signature
因此，一個典型的JWT看起來是這個樣子的：
xxxxx.yyyyy.zzzzz
接下來，具體看一下每一部分：
Header
header典型的由兩部分組成：token的類型（“JWT”）和算法名稱（比如：HMAC SHA256或者RSA等等）。
例如：
然后，用Base64對這個JSON編碼就得到JWT的第一部分
Payload
JWT的第二部分是payload，它包含聲明（要求）。聲明是關於實體(通常是用戶)和其他數據的聲明。聲明有三種類型: registered, public 和 private。
- Registered claims : 這里有一組預定義的聲明，它們不是強制的，但是推薦。比如：iss (issuer), exp (expiration time), sub (subject), aud (audience)等。
- Public claims : 可以隨意定義。
- Private claims : 用於在同意使用它們的各方之間共享信息，並且不是注冊的或公開的聲明。
下面是一個例子：
對payload進行Base64編碼就得到JWT的第二部分
注意，不要在JWT的payload或header中放置敏感信息，除非它們是加密的。
Signature
為了得到簽名部分，你必須有編碼過的header、編碼過的payload、一個秘鑰，簽名算法是header中指定的那個，然對它們簽名即可。
例如：
HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)
簽名是用於驗證消息在傳遞過程中有沒有被更改，並且，對於使用私鑰簽名的token，它還可以驗證JWT的發送方是否為它所稱的發送方。
