第一部分和第二部分，并不是加密，只是Base64转换，我们可以通过其他语言轻松转换回来，如下使用javascript进行转，window.atob(base64加密) window.btoa(base64解密)
var header=JSON.parse(window.atob('eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9'))
如下图：
我再对payLoa进行转换回来， var payLoad=JSON.parse(window.atob('eyJzdWIiOiJyb2JlciIsImp0aSI6IjY0OWMyYjUxLTE4ZGQtNDEzYy05Yzc5LTI4NWNhMDAxODU2NSIsIm5iZiI6MTU0MDYxMDY2NSwiZXhwIjoxNTQwNjEyNDY1LCJpc3MiOiJyb2Jlcklzc3VlciIsImF1ZCI6InJvYmVyQXVkaWVuY2UiLCJhZ2UiOjMwfQ')) ，如下图：
所以，从这里可以看出来，Base64并不是属于加密，只是简单转换，因此，不能在payLoad中存放重要内容，比如密码等
使用aspnetcore 中自带的类生成jwt
aspnet core中自带了一个jwt帮助类，其实原理一样，对上面做了封装，丰富了一个内容,我们继续使用一个静态方法，如下
/// <summary> /// 创建jwtToken,采用微软内部方法，默认使用HS256加密，如果需要其他加密方式，请更改源码 /// 返回的结果和CreateToken一样 /// </summary> /// <param></param> /// <param>有效分钟</param> /// <returns></returns> public static string CreateTokenByHandler(Dictionary<string, object> payLoad, int expiresMinute) { var now = DateTime.UtcNow; // Specifically add the jti (random nonce), iat (issued timestamp), and sub (subject/user) claims. // You can add other claims here, if you want: var claims = new List<Claim>(); foreach (var key in payLoad.Keys) { var tempClaim = new Claim(key, payLoad[key]?.ToString()); claims.Add(tempClaim); } // Create the JWT and write it to a string var jwt = new JwtSecurityToken( issuer: null, audience: null, claims: claims, notBefore: now, expires: now.Add(TimeSpan.FromMinutes(expiresMinute)), signingCredentials: new SigningCredentials(new SymmetricSecurityKey(Encoding.ASCII.GetBytes(securityKey)), SecurityAlgorithms.HmacSha256)); var encodedJwt = new JwtSecurityTokenHandler().WriteToken(jwt); return encodedJwt; }
它效果和上面一模一样，如果使用同样的header 、payload、秘钥，生成的jwt肯定一样，这里就不演示了，感兴趣的可以自行尝试;
aspnetcore中如何使用自定义jwt验证
上面讲了那么多，只是为了大家更好的理解如何使用jwt进行验证，那是jwt是如何进行验证的呢？，如果一个http请求过来，一般jwt携带在http请求头部的Authorization中；先不看如何获取，先看看他是如何验证的，我们再定义个静态方法，如下：
/// <summary> /// 验证身份 验证签名的有效性, /// </summary> /// <param></param> /// <param>自定义各类验证； 是否包含那种申明，或者申明的值， </param> /// 例如：payLoad["aud"]?.ToString() == "roberAuddience"; /// 例如：验证是否过期 等 /// <returns></returns> public static bool Validate(string encodeJwt,Func<Dictionary<string,object>,bool> validatePayLoad) { var success = true; var jwtArr = encodeJwt.Split('.'); var header = JsonConvert.DeserializeObject<Dictionary<string, object>>(Base64UrlEncoder.Decode(jwtArr[0])); var payLoad = JsonConvert.DeserializeObject<Dictionary<string, object>>(Base64UrlEncoder.Decode(jwtArr[1])); var hs256 = new HMACSHA256(Encoding.ASCII.GetBytes(securityKey)); //首先验证签名是否正确（必须的） success = success && string.Equals(jwtArr[2], Base64UrlEncoder.Encode(hs256.ComputeHash(Encoding.UTF8.GetBytes(string.Concat(jwtArr[0], ".", jwtArr[1]))))); if (!success) { return success;//签名不正确直接返回 } //其次验证是否在有效期内（也应该必须） var now = ToUnixEpochDate(DateTime.UtcNow); success = success && (now >= long.Parse(payLoad["nbf"].ToString()) && now < long.Parse(payLoad["exp"].ToString())); //再其次 进行自定义的验证 success = success && validatePayLoad(payLoad); return success; }
其中validatePayLoad 参数是一个自定义的验证的Fun，执行该Fun方法时会把解密后的payload作为参数传入进去
我们验证通过分为两部分，
第一，必须的（自认为的）
jwt签名是否正确，请看以上代码实现
jwt是否在可以时间内，请看以上代码实现
第二，自定义的(各复杂的,原理就是获取payLoad 的某个值，然后对这个值进行各种判读--等于，大于，包含，)
该jwt是不是进入黑名单
aud==‘roberAudience'
我们来通过一个测试类验证