소개 JSON 웹 토큰

새:을 얻을 JWT 핸드북을 무료로 배우고 Jwt 에 깊이!

JSON 웹 토큰이란 무엇입니까?

JSON 웹 토큰(JWT)표준(RFC7519)을 정의하는 컴팩트하고 독립적 인 방법을 안전하게 전송하는 정보를 당 사이로 JSON 개체입니다. 이 정보는 디지털 서명되어 있기 때문에 확인하고 신뢰할 수 있습니다. JWTs 는 비밀(HMAC 알고리즘 사용)또는 rsa 또는 ECDSA 를 사용하는 공개/개인 키 쌍을 사용하여 서명 할 수 있습니다.,

JWTs 는 당사자간에 비밀을 제공하기 위해 암호화 될 수 있지만 서명 된 토큰에 중점을 둘 것입니다. 서명 된 토큰은 그 안에 포함 된 클레임의 무결성을 확인할 수 있지만 암호화 된 토큰은 다른 당사자로부터 해당 클레임을 숨 깁니다. 토큰이 공개/개인 키 쌍을 사용하여 서명되면 서명은 개인 키를 보유한 당사자 만 서명 한 것임을 증명합니다.

언제 JSON 웹 토큰을 사용해야합니까?

다음은 JSON 웹 토큰이 유용한 시나리오입니다.

• 권한 부여:이것은 JWT 를 사용하는 가장 일반적인 시나리오입니다., 면 사용자가 로그에 이후의 각 요청이 포함됩니다 JWT,사용자가 액세스하는 경로,서비스 및 자원과 함께 사용할 수 있는 토큰을 발급합니다. Single Sign On 은 오버 헤드가 작고 다른 도메인에서 쉽게 사용할 수 있기 때문에 요즘 jwt 를 널리 사용하는 기능입니다.

• 정보 교환:JSON 웹 토큰의 좋은 방법이 안전하게 전송하는 정보를 당사자 간. 기 때문에 Jwt 서명을 할 수 있습니다—예를 들어,사용하여 공개/개인 키 쌍을 확신할 수 있습는 사람들이 활동하고 있습니다., 또한 서명이 헤더와 페이로드를 사용하여 계산되므로 콘텐츠가 변조되지 않았는지 확인할 수도 있습니다.

JSON 웹 토큰 구조는 무엇입니까?

컴팩트한 형태로,JSON 웹 토큰은 세 부분으로 구성 분리에 의해 점(.)고 있습니다.

• 헤더
• 탑재
• 명

따라서,JWT 일반적으로 다음과 같습니다.

xxxxx.yyyyy.zzzzz

나누자 다른 부분으로 구성됩니다.,

헤더

헤더는 일반적으로 두 부분으로 구성되어 있는 유형의 토큰하는,JWT,그리고 서명 알고리즘을 사용되는,HMAC 와 같은 SHA256 또는 RSA.

예:

{ "alg": "HS256", "typ": "JWT"}

그런 다음이 JSON 은 BASE64URL 로 인코딩되어 JWT 의 첫 번째 부분을 형성합니다.

페이로드

토큰의 두 번째 부분은 클레임을 포함하는 페이로드입니다. 클레임은 엔티티(일반적으로 사용자)및 추가 데이터에 대한 진술입니다.클레임에는 등록,공개 및 비공개 클레임의 세 가지 유형이 있습니다.,

• 등록된 주:이러한은 미리 정의된 청구하는 필수적이지는 않지만,추천을 제공하는 설정의 유용하고,상호 운용이 가능한 주장하고있다. 그 중 일부는 iss(발행자),exp(만료 시간),sub(대상),aud(대상)및 기타입니다.

  클레임 이름은 jwt 가 compact 로 의미되는 한 세 자만 있음을 알 수 있습니다.

• 공용 주:이러한에서 정의할 수 있습니다 사람들에 의해 사용 Jwt., 그러나 충돌을 피하기 위해 IANA JSON 웹 토큰 레지스트리에 정의되거나 충돌 방지 네임 스페이스가 포함 된 URI 로 정의되어야합니다.

• 전용 주:이용자 지정 클레임을 만들어진을 공유하는 정보를 당사자 간의 합의하는 사람들에게 고지도 않을 등록하거나 공니다.

예 페이로드 수 있습니다.

{ "sub": "1234567890", "name": "John Doe", "admin": true}

페이로드는 다음 Base64Url 인코딩하는 형태의 두 번째 부분 JSON 웹 토큰을 발급합니다.,

서명 된 토큰의 경우이 정보는 변조로부터 보호되지만 누구나 읽을 수 있습니다. 암호화되지 않는 한 jwt 의 페이로드 또는 헤더 요소에 비밀 정보를 넣지 마십시오.

명

서명을 만드 부품을 인코딩된 헤더,인코딩된 페이로드,비밀,알고리즘을 지정한 헤더에서 로그인다.,

예를 들어 사용하려면 HMAC SHA256 알고리즘,서명될 것이 만들어집 방법은 다음과 같습니다.

HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

서명은 메시지를 확인하기 위해 사용 변경되지 않았다 길을 따라,그리고,의 경우에는 토큰으로 서명된 개인 키를,그것도 확인할 수 있습을 보낸 사람의 JWT 는 사람입니다.

모두 함께

출력은 세 가지 Base64URL 문자열로 구분하여 점이는 쉽게 전달할 수 있습니다 HTML and HTTP 환경되는 동안 더 많은 콤팩트할 때에 비해 XML 기반으로 표준과 같은 SAML.,

다음은 이전 헤더와 페이로드가 인코딩 된 JWT 를 보여 주며 비밀로 서명됩니다.

하려면 플레이 JWT 을 넣어 이러한 개념이 연습으로 사용할 수 있습니다,jwt.io 디버거를 디코딩하는지 확인하고,생성하 Jwt.

JSON 웹 토큰은 어떻게 작동합니까?

인증에서 사용자가 자격 증명을 사용하여 성공적으로 로그인하면 JSON 웹 토큰이 반환됩니다. 토큰은 자격 증명이므로 보안 문제를 방지하는 데 큰주의를 기울여야합니다., 일반적으로 토큰을 필요한 것보다 오래 보관하면 안됩니다.또한 보안 부족으로 인해 중요한 세션 데이터를 브라우저 저장소에 저장해서는 안됩니다.

때마다 사용자의 액세스 보호되는 경로 또는 리소스 사용자 에이전트에 보내야 JWT,일반적으로 Authorization 헤더에 사용자 스키마에 있습니다. 의 콘텐츠 헤더 다음과 같이 표시되어야 합니다:

Authorization: Bearer <token>

이될 수 있는,특정한 경우,무국적자는 권한 메커니즘이 있습니다., 서버의 보호되는 경로는 검사에 대해 유효한 JWTAuthorization헤더가 있는 경우,이용자에 액세스하도록 허용할 보호된 리소스입니다. 는 경우 JWT 이 포함되고 필요한 데이터,쿼리를 수행해야 할 데이터베이스에 대한 특정 작업을 줄일 수 있습니다 하지만 이렇게 하지 못할 경우입니다.

토큰이Authorization헤더로 전송되면 크로스 오리진 리소스 공유(CORS)는 쿠키를 사용하지 않으므로 문제가되지 않습니다.,

다이어그램을 다음과 같은 방법을 보여줍 JWT 를 얻을 수 있고,액세스하는 데 사용되는 Api 또는 자원

1. 응용 프로그램 또는 클라이언트 요청에 대한 권한 부여한 권한 부여 서버입니다. 이는 다른 권한 부여 흐름 중 하나를 통해 수행됩니다. 예를 들어 일반적인 OpenID Connect 호환 웹 응용 프로그램은 인증 코드 흐름을 사용하여/oauth/authorize끝점을 통과합니다.
2. 권한 부여가 부여되면 권한 부여 서버는 응용 프로그램에 액세스 토큰을 반환합니다.,
3. 응용 프로그램은 액세스 토큰을 사용하여 보호 된 리소스(API 와 같은)에 액세스합니다.

지 참고 서명된 토큰한 모든 정보에 포함된 토큰에 노출된 사용자 또는 다른 당사자는,비록 그들을 변경할 수 없습니다. 즉,토큰 내에 비밀 정보를 넣지 않아야합니다.

JSON 웹 토큰을 사용해야하는 이유는 무엇입니까?

간단한 웹 토큰(SWT)및 보안 어설 션 마크 업 언어 토큰(SAML)과 비교할 때 JSON 웹 토큰(JWT)의 이점에 대해 이야기하겠습니다.,

JSON 이 XML 보다 장황하기 때문에 크기를 인코딩 할 때 크기도 작아 JWT 가 SAML 보다 컴팩트 해집니다. 이렇게하면 JWT 가 HTML 및 HTTP 환경에서 전달 될 수있는 좋은 선택이됩니다.

보안 현명한 SWT 는 hmac 알고리즘을 사용하여 공유 비밀에 의해 대칭 적으로 서명 될 수 있습니다. 그러나 JWT 및 SAML 토큰은 서명을 위해 x.509 인증서 형태로 공개/개인 키 쌍을 사용할 수 있습니다. 모호한 보안 구멍을 도입하지 않고 XML 디지털 서명으로 XML 에 서명하는 것은 json 서명의 단순성과 비교할 때 매우 어렵습니다.,

JSON 파서는 객체에 직접 매핑되기 때문에 대부분의 프로그래밍 언어에서 일반적입니다. 반대로 XML 에는 자연스러운 문서 대 객체 매핑이 없습니다. 이렇게하면 SAML 어설 션보다 JWT 로 작업하는 것이 더 쉽습니다.

사용과 관련하여 JWT 는 인터넷 규모로 사용됩니다. 이는 여러 플랫폼,특히 모바일에서 json 웹 토큰의 클라이언트 측 처리 용이성을 강조합니다.,

교의 길이 인코딩된 JWT 과 인코딩된 SAML

경우에 당신은에 대한 자세한 내용을 원하는 JSON 웹 토큰을 시작도 그들을 사용하여 수행하는 인증에 당신의 자신의 응용 프로그램를 찾 JSON 웹 토큰을 방문 페이지에 Auth0.