JWT基础概念JWT是jsonwebtoken缩写。它将用户信息加密到token里，服务器不保存任何用户信息。服务器通过使用保存的密钥验证token的正确性，只要正确即通过验证。基于token的身份验证可以替代传统的cookie+session身份验证方法。代码来自网络，亲测有效，所以记录一下JWT由三个部分组成：header.payload.signatureheader部分该字段为json格式，alg字段指生成signature的算法，默认值为HS256，typ默认值为JWT{"alg":"HS256","typ":"JWT"}payload该字段为json格式，表明用户身份的数据，可以根

JSONWebToken（缩写JWT）是目前最流行的跨域认证解决方案。传统的session认证http协议本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，那么下一次请求时，用户还要再一次进行用户认证才行，因为根据http协议，我们并不能知道是哪个用户发出的请求，所以为了让我们的应用能识别是哪个用户发出的请求，我们只能在服务器存储一份用户登录的信息，这份登录信息会在响应时传递给浏览器，告诉其保存为cookie,以便下次请求时发送给我们的应用，这样我们的应用就能识别请求来自哪个用户了,这就是传统的基于session认证。这种基于session的认证使应用本

JSONWebToken（缩写JWT）是目前最流行的跨域认证解决方案。传统的session认证http协议本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，那么下一次请求时，用户还要再一次进行用户认证才行，因为根据http协议，我们并不能知道是哪个用户发出的请求，所以为了让我们的应用能识别是哪个用户发出的请求，我们只能在服务器存储一份用户登录的信息，这份登录信息会在响应时传递给浏览器，告诉其保存为cookie,以便下次请求时发送给我们的应用，这样我们的应用就能识别请求来自哪个用户了,这就是传统的基于session认证。这种基于session的认证使应用本

JSONWebToken（缩写JWT）是目前最流行的跨域认证解决方案。传统的session认证http协议本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，那么下一次请求时，用户还要再一次进行用户认证才行，因为根据http协议，我们并不能知道是哪个用户发出的请求，所以为了让我们的应用能识别是哪个用户发出的请求，我们只能在服务器存储一份用户登录的信息，这份登录信息会在响应时传递给浏览器，告诉其保存为cookie,以便下次请求时发送给我们的应用，这样我们的应用就能识别请求来自哪个用户了,这就是传统的基于session认证。这种基于session的认证使应用本

JSONWebToken（缩写JWT）是目前最流行的跨域认证解决方案。传统的session认证http协议本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，那么下一次请求时，用户还要再一次进行用户认证才行，因为根据http协议，我们并不能知道是哪个用户发出的请求，所以为了让我们的应用能识别是哪个用户发出的请求，我们只能在服务器存储一份用户登录的信息，这份登录信息会在响应时传递给浏览器，告诉其保存为cookie,以便下次请求时发送给我们的应用，这样我们的应用就能识别请求来自哪个用户了,这就是传统的基于session认证。这种基于session的认证使应用本

今天我们来聊一聊关于JWT授权的事情。JWT：JsonWebToken。顾名思义，它是一种在Web中，使用Json来进行Token授权的方案。既然没有找好密码，token是如何解决信任问题的呢？解决信任问题，只需要解决两个问题即可：token是不是来自我信任的机构颁发token中的信息是否被篡改对于第一个问题而言，确认token确实是由被信任的第三方颁发的，一般都是通过加密算法来建立信任，颁发时使用密钥进行加密，如果能够对加密内容进行正常解密说明token来自信任方。常用的加密算法分为：对称可逆加密：使用同一个秘钥来加密解密，如果token能解密就能证明来源，秘钥不对外公开非对称可逆加密：使用

今天我们来聊一聊关于JWT授权的事情。JWT：JsonWebToken。顾名思义，它是一种在Web中，使用Json来进行Token授权的方案。既然没有找好密码，token是如何解决信任问题的呢？解决信任问题，只需要解决两个问题即可：token是不是来自我信任的机构颁发token中的信息是否被篡改对于第一个问题而言，确认token确实是由被信任的第三方颁发的，一般都是通过加密算法来建立信任，颁发时使用密钥进行加密，如果能够对加密内容进行正常解密说明token来自信任方。常用的加密算法分为：对称可逆加密：使用同一个秘钥来加密解密，如果token能解密就能证明来源，秘钥不对外公开非对称可逆加密：使用

这是CC链分析的第二篇文章，我想按着common-collections的版本顺序来介绍，所以顺序为cc1、3、5、6、7（common-collections3.1），cc2、4（common-collections4）。打开YsoSerialpayloadsCommonsCollections3源码：publicObjectgetObject(finalStringcommand)throwsException{ ObjecttemplatesImpl=Gadgets.createTemplatesImpl(command); //inertchainforsetup finalTr

这是CC链分析的第二篇文章，我想按着common-collections的版本顺序来介绍，所以顺序为cc1、3、5、6、7（common-collections3.1），cc2、4（common-collections4）。打开YsoSerialpayloadsCommonsCollections3源码：publicObjectgetObject(finalStringcommand)throwsException{ ObjecttemplatesImpl=Gadgets.createTemplatesImpl(command); //inertchainforsetup finalTr

 Hi，这里是桑小榆。 上篇文章中，我们一起探讨了OAuth协议的原理以及授权认证流程，本次我们一起探讨jwt令牌作为授权协议的传输介质。OAuth协议规范了几个参与角色的授权标准，安全可控的授予第三方应用，第三方应用获取到用户授予的权限之后，与资源服务器进行交互。那么在进行交互的时候，必然需要一种传输介质，且需要携带用户身份的信息，使得服务器之间能够识别并认证。这个传输的介质就是我们此次探讨的jwt。jwt，全称 JsonWebToken，也就是日常说的token令牌。它是通过数字签名的方式，以json对象为载体，在不同服务终端之间安全传输信息。我们可以看到jwt的定义，它具有和json一样