JSON Web Token (JWT) là một giao thức gì?

JWT là một tiêu chuẩn mở được sử dụng để truyền thông tin an toàn giữa Client và Server dưới định dạng JSON. Mặc dù tất cả các mã thông báo đều là JWT, nhưng không phải tất cả các mã thông báo đều là JWT.

JWT được truyền đi nhanh chóng vì kích thước nhỏ. Nó có thể được gửi qua nhiều con đường như URL, tham số POST hoặc tiêu đề HTTP. Tất cả thông tin về một thực thể được chứa trong JWT để tránh việc truy vấn cơ sở dữ liệu nhiều lần. Khi nhận được JWT, người nhận không cần liên lạc với server để xác thực mã thông báo.

Các ưu điểm của JWT

JWT có nhiều ưu điểm hơn so với tiêu chuẩn SAML và SWT, điều này làm cho nó được nhiều nhà phát triển tin dùng cho các sản phẩm của họ. Dưới đây là những điểm mạnh của JWT:

Khi nào nên sử dụng JWT?

Người dùng sử dụng Token JSON Web trong nhiều trường hợp, ví dụ:.

Cấu trúc mã thông báo web JSON

Chữ ký trên web JSON (JWS) xuất hiện trên tất cả các JWT được cấp bởi Auth0 và không được mã hóa. JWS sử dụng cấu trúc dữ liệu dựa trên JSON để biểu diễn nội dung được bảo mật bằng MAC hoặc chữ ký số. Cấu trúc của JSON Web Token được định dạng tốt gồm ba phần, mỗi phần được ngăn cách bằng dấu chấm (.).

JWT sẽ có dạng như sau:

Đầu tiên, hãy truy cập vào JWT.Io (trình gỡ rối) để xem nội dung của JWT. Với JWT.Io, bạn có thể dễ dàng xác định xem JWT đã được tạo thành công hay chưa chỉ sau một vài bước đơn giản. Ngoài ra, nó cũng cho phép bạn kiểm tra thủ công các giá trị của các yêu cầu khác.

Tiêu đề JOSE

Các thông số mô tả hoạt động mật mã và các thông số sử dụng được lưu trữ trong đối tượng JSON. Tiêu đề JOSE bao gồm một cặp tham số header gồm tên/giá trị: thuật toán băm (như HMAC SHA256, RSA) và loại JWT.

{"alg": "HS256","typ": "JWT"}

JWS nội dung

Payload của JWS chứa thông tin về một thực thể, chủ yếu là người dùng, cùng với các yếu tố để xác nhận danh tính và quyền sở hữu. Trong ví dụ này, chúng tôi đang nhắm đến một người dùng cụ thể. Lưu ý rằng bạn cần biết về các loại xác nhận quyền sở hữu và cách đặt tên chúng để tránh gặp khó khăn khi thực hiện xác nhận quyền sở hữu JWT.

{"sub": "1234567890","name": "John Doe","admin": true}

Chữ ký JWS

Chữ ký JWS được sử dụng để xác minh danh tính của người gửi JWT và đảm bảo tính toàn vẹn của nội dung thư. Để tạo chữ ký, ta mã hóa header và payload dưới dạng Base64, sau đó kết hợp với một chuỗi secret. Ví dụ, nếu ta sử dụng thuật toán HMAC SHA256 để tạo chữ ký cho mã thông báo, ta thực hiện như sau:

HMACSHA256(base64UrlEncode(header) + "." +base64UrlEncode(payload),secret)secret)

Tóm tắt về JSON Web Token (JWT)

Hy vọng rằng thông tin về JSON Web Token (JWT) mà chúng tôi cung cấp đã giúp bạn hiểu rõ hơn về JWT và những lợi ích mà nó mang lại. Nếu bạn muốn tăng cường bảo mật cho trang web hoặc ứng dụng của mình, hãy thử sử dụng JWT.