JWT 規範

1. JWT 規範

JSON Web Token (JWT) 是一種用於在各方之間安全地傳輸信息的開放標準（RFC 7519）。這些信息可以被驗證和信任，因為它們是數字簽名的。 JWT 通常用於身份驗證和授權，但在許多其他場景中也可能有用。作為加密期貨交易領域的專家，理解 JWT 對於保護API密鑰、處理交易數據安全以及構建安全的交易系統至關重要。本文將深入探討 JWT 規範，幫助初學者全面理解其原理、結構、使用場景以及安全考量。

JWT 的核心概念

在深入細節之前，理解幾個關鍵概念至關重要：

**Claims（聲明）：** JWT 的核心是 Claims，它們是關於實體（通常是用戶）和元數據的聲明語句。Claims 包含在 JWT 的有效載荷（Payload）部分。
**Header（頭部）：** 包含關於 JWT 的類型和使用的加密算法的信息。
**Signature（簽名）：** 使用密鑰（秘密或公鑰/私鑰對）對頭部和有效載荷進行簽名，以驗證 JWT 的完整性和真實性。
**Base64url 編碼：** JWT 的頭部和有效載荷都使用 Base64url 編碼，使其能夠安全地在 URL 中傳輸。

JWT 的結構

一個 JWT 字符串通常由三個部分組成，用點（.）分隔：

1. **Header（頭部）：** 描述了 JWT 的元數據，例如使用的簽名算法（例如 HMAC SHA256 或 RSA）。 2. **Payload（有效載荷）：** 包含 Claims。這些 Claims 可以是註冊的 Claims、公開的 Claims 或私有的 Claims。 3. **Signature（簽名）：** 用於驗證 JWT 是否被篡改，並確保其來自可信方。

以下是一個 JWT 的示例：

`eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxsQJSJSxNZOXcQhvGduKDJtfPCP9gUqYc6P3Hbk`

**Header:** `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9` (Base64url 編碼)
**Payload:** `eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ` (Base64url 編碼)
**Signature:** `SflKxsQJSJSxNZOXcQhvGduKDJtfPCP9gUqYc6P3Hbk`

JWT 的頭部 (Header)

頭部通常是一個 JSON 對象，包含以下欄位：

`alg` (algorithm): 指定用於簽名 JWT 的算法。常見的算法包括：

   *   `HS256`: HMAC SHA256 (对称加密)
   *   `RS256`: RSA SHA256 (非对称加密)
   *   `ES256`: ECDSA SHA256 (椭圆曲线数字签名算法)

`typ` (type): 指定 JWT 的類型，通常設置為 "JWT"。

例如：

`{"alg": "HS256", "typ": "JWT"}`

這個頭部會被 Base64url 編碼。

JWT 的有效載荷 (Payload)

有效載荷包含 Claims，這些 Claims 是關於用戶或實體的信息。Claims 分為三種類型：

**Registered Claims (註冊聲明):** 一組預定義的 Claims，例如：

   *   `iss` (issuer):  发出 JWT 的实体。
   *   `sub` (subject):  JWT 的主题，通常是用户 ID。
   *   `aud` (audience):  JWT 的接收者。
   *   `exp` (expiration time):  JWT 过期的时间戳。
   *   `nbf` (not before):  JWT 有效期开始的时间戳。
   *   `iat` (issued at):  JWT 签发的时间戳。
   *   `jti` (JWT ID):  JWT 的唯一标识符。

**Public Claims (公開聲明):** 可以被所有用戶訪問的自定義 Claims。
**Private Claims (私有聲明):** 僅在各方之間共享的自定義 Claims。

例如：

`{"sub": "1234567890", "name": "John Doe", "iat": 1516239022}`

這個有效載荷也會被 Base64url 編碼。在加密期貨交易中，這些 Claims 可以包含用戶的交易權限、帳戶餘額、風險承受能力等信息。

JWT 的簽名 (Signature)

簽名用於驗證 JWT 的完整性和真實性。簽名過程如下：

1. 將 Header (Base64url 編碼) 和 Payload (Base64url 編碼) 連接起來，用點（.）分隔。 2. 使用 Header 中指定的算法，結合密鑰（秘密密鑰或私鑰），對連接後的字符串進行簽名。 3. 將簽名 Base64url 編碼，並將其附加到 JWT 字符串的末尾，用點（.）分隔。

例如，使用 HMAC SHA256 算法和秘密密鑰 "secret" 對上述 Header 和 Payload 進行簽名：

``` HMACSHA256(

 base64UrlEncode(header) + "." + base64UrlEncode(payload),
 secret

) ```

JWT 的使用場景

JWT 在各種場景中都有廣泛的應用：

**身份驗證 (Authentication):** JWT 可以用於驗證用戶的身份。用戶登錄成功後，伺服器會頒發一個 JWT，客戶端在後續請求中攜帶該 JWT，伺服器驗證 JWT 的有效性，從而確認用戶的身份。
**授權 (Authorization):** JWT 可以用於控制用戶對資源的訪問權限。在 JWT 的有效載荷中可以包含用戶的角色和權限信息，伺服器根據這些信息來決定是否允許用戶訪問特定資源。
**信息交換 (Information Exchange):** JWT 可以用於在各方之間安全地傳輸信息。例如，在去中心化交易所 (DEX) 中，JWT 可以用於傳輸交易指令和帳戶信息。
**API 認證 (API Authentication):** JWT 可以用於保護 API 接口。客戶端使用 JWT 向 API 發送請求，API 驗證 JWT 的有效性，從而確認客戶端的身份和權限。在量化交易策略中，API 認證至關重要。
**單點登錄 (Single Sign-On, SSO):** JWT 可以用於實現單點登錄，用戶只需要登錄一次，就可以訪問多個應用程式。

JWT 的安全考量

雖然 JWT 是一種強大的工具，但安全性至關重要。以下是一些需要考慮的安全事項：

**密鑰管理：** 秘密密鑰必須保密，防止泄露。對於非對稱加密算法，私鑰必須安全存儲。
**算法選擇：** 選擇安全的簽名算法。避免使用弱算法，例如 HMAC SHA1。
**過期時間 (Expiration Time):** 設置合理的過期時間，以減少 JWT 被盜用或濫用的風險。
**刷新令牌 (Refresh Tokens):** 使用刷新令牌來獲取新的 JWT。刷新令牌應該比 JWT 有更長的有效期，並且需要安全存儲。
**防止重放攻擊 (Replay Attacks):** 使用 `jti` (JWT ID) Claim 來防止重放攻擊。
**跨站腳本攻擊 (Cross-Site Scripting, XSS):** 防止 XSS 攻擊，以避免 JWT 被惡意腳本竊取。
**存儲：** 避免在客戶端存儲敏感的 JWT 數據，例如用戶的密碼或信用卡信息。
**驗證：** 始終驗證 JWT 的簽名、過期時間和 Claims。
**CORS 配置:** 確保 CORS (跨域資源共享) 配置正確, 防止未經授權的跨域請求訪問你的 API。

在風險管理中，理解 JWT 的安全風險並採取適當的措施至關重要，以保護交易系統和用戶數據。

JWT 庫和工具

有許多 JWT 庫和工具可用於各種程式語言：

**JavaScript:** `jsonwebtoken`
**Python:** `PyJWT`
**Java:** `jjwt`
**Node.js:** `jsonwebtoken`
**在線 JWT 調試器:** [1](https://jwt.io/) (用於解碼和驗證 JWT)

這些庫和工具可以簡化 JWT 的創建、驗證和管理過程。

JWT 與 OAuth 2.0 的關係

JWT 經常與 OAuth 2.0 框架一起使用。OAuth 2.0 是一種授權框架，允許用戶授權第三方應用程式訪問其資源，而無需共享其憑據。 JWT 可以用作 OAuth 2.0 訪問令牌 (Access Token)。

JWT 的未來發展

JWT 規範仍在不斷發展。未來的發展方向包括：

**更強的安全算法:** 採用更安全的加密算法，例如 Post-Quantum Cryptography。
**更靈活的 Claims 結構:** 引入更靈活的 Claims 結構，以支持更複雜的場景。
**更好的互操作性:** 提高 JWT 在不同平台和系統之間的互操作性。
**標準化刷新令牌機制:** 標準化刷新令牌的頒發和管理機制。

總之，JWT 是一種強大且靈活的工具，可以用於各種安全相關的場景。理解 JWT 的原理、結構和安全考量，對於構建安全的應用程式至關重要，特別是在像加密期貨交易這樣對安全性要求極高的領域。在進行技術分析和交易量分析時，確保安全地傳輸和存儲相關數據，JWT 是一個不可或缺的工具。

JWT 總結
屬性
結構
Header
Payload
Signature
應用場景
安全考量

平台	期貨特點	註冊
Binance Futures	槓桿高達125倍，USDⓈ-M 合約	立即註冊
Bybit Futures	永續反向合約	開始交易
BingX Futures	跟單交易	加入BingX
Bitget Futures	USDT 保證合約	開戶
BitMEX	加密貨幣交易平台，槓桿高達100倍	BitMEX