HTTPS（HyperText Transfer Protocol Secure）和 JWT（JSON Web Token）是 Web 安全领域中常用的两个不同的技术，它们在一起工作以确保数据的安全传输和认证。下面是它们各自的作用及相互关系的详细说明：
HTTPS
- 定义：HTTPS 是 HTTP 的安全版本，通过 SSL/TLS（Secure Sockets Layer / Transport Layer Security）协议加密数据传输。
- 主要功能：
- 数据加密：通过对传输数据进行加密，防止中间人攻击，确保数据在客户端和服务器之间传输时的机密性。
- 数据完整性：通过校验数据在传输过程中是否被篡改，确保数据的完整性。
- 身份验证：通过数字证书验证服务器的身份，防止钓鱼攻击。
- 工作机制：
- 客户端发起 HTTPS 请求，服务器响应并发送证书。
- 客户端验证服务器证书的有效性，并生成一个对称密钥。
- 客户端和服务器使用该对称密钥加密通信数据。
JWT
- 定义：JWT 是一种基于 JSON 的开放标准（RFC 7519），用于在各方之间传输声明，通常用于认证和授权。
- 主要功能：
- 认证：通过携带用户信息和签名，验证用户身份。
- 授权：JWT 可以包含用户权限等信息，服务器可以根据这些信息决定是否授权访问资源。
- 工作机制：
- 客户端向服务器发送登录请求，服务器验证用户凭据并生成 JWT。
- 服务器将 JWT 返回给客户端，客户端将其存储（通常在 localStorage 或 sessionStorage 中）。
- 在后续请求中，客户端将 JWT 作为 Bearer Token 放在 HTTP 请求头中发送给服务器。
- 服务器验证 JWT 的签名和有效性，如果有效，则允许访问受保护的资源。
HTTPS 与 JWT 的关系
-
数据传输安全性：JWT 本身不加密数据，只对数据进行编码和签名。因此，使用 HTTPS 加密传输 JWT 是确保 JWT 及其载荷数据不被窃取和篡改的必要手段。通过 HTTPS 传输 JWT 可以防止中间人攻击，从而确保 JWT 的安全性。
-
身份验证和授权：HTTPS 确保数据传输的安全，而 JWT 则用于身份验证和授权。两者结合使用时，客户端和服务器之间的数据传输是加密的，同时 JWT 确保了请求者的身份和权限，从而提高整体安全性。
-
防止重放攻击：尽管 HTTPS 提供了加密传输，但重放攻击仍可能发生（攻击者捕获并重放请求）。JWT 通常带有时效性（如
exp声明），配合 HTTPS，可以有效减轻重放攻击的风险。
示例流程
-
用户登录：
- 用户在登录页面输入凭据，客户端通过 HTTPS 将凭据发送到服务器。
- 服务器验证凭据，生成 JWT，并通过 HTTPS 将 JWT 返回给客户端。
-
访问受保护资源：
- 客户端将 JWT 存储起来，并在每次请求受保护资源时，将 JWT 作为 Bearer Token 放在 HTTP 请求头中。
- 服务器通过 HTTPS 接收请求，验证 JWT 的签名和有效性，若验证通过，则允许访问资源。
通过上述流程，HTTPS 确保了数据传输的安全性，而 JWT 确保了用户身份的认证和授权，两者相辅相成，共同构建了一个安全的 Web 应用体系。
结论
HTTPS 和 JWT 是确保 Web 应用安全的关键技术。HTTPS 主要解决数据传输的安全性问题，而 JWT 解决身份认证和授权问题。通过结合使用 HTTPS 和 JWT，可以在确保数据传输安全的同时，进行有效的身份验证和授权，从而构建一个安全、可靠的 Web 应用。
标签：JWT,认证,确保,HTTPS,服务器,数据传输,客户端 From： https://www.cnblogs.com/gongchengship/p/18284481