Wie validiert man ein JWT?
Wie validiert man ein JWT?

Video: Wie validiert man ein JWT?

Video: Wie validiert man ein JWT?
Video: JWT Authentication Flow - Schnell Erklärt 2024, November
Anonim

Zum Parsen und ein JSON-Web-Token validieren ( JWT ) haben Sie folgende Möglichkeiten: Verwenden Sie eine beliebige vorhandene Middleware für Ihr Web-Framework. Wählen Sie eine Drittanbieterbibliothek aus JWT .io.

Um ein JWT zu validieren, muss Ihre Anwendung:

  1. Überprüfen Sie, ob die JWT ist gut geformt.
  2. Überprüfen Sie die Signatur.
  3. Überprüfen Sie die Standardansprüche.

Außerdem, was ist das Geheimnis von JWT?

Der Algorithmus (HS256) zum Signieren der JWT bedeutet, dass die Geheimnis ist ein symmetrischer Schlüssel, der sowohl dem Sender als auch dem Empfänger bekannt ist. Es wird out-of-band ausgehandelt und verteilt. Wenn Sie also der beabsichtigte Empfänger des Tokens sind, sollte Ihnen der Absender die Geheimnis außerhalb der Bandbreite.

Wissen Sie auch, wie ich ein Cognito-Token verifiziere? Schritt 2: Validieren Sie die JWT-Signatur

  1. Entschlüsseln Sie das ID-Token. Sie können AWS Lambda verwenden, um Benutzerpool-JWTs zu decodieren. Weitere Informationen finden Sie unter Decodieren und Überprüfen von Amazon Cognito JWT-Tokens mit Lambda.
  2. Verwenden Sie den öffentlichen Schlüssel, um die Signatur mit Ihrer JWT-Bibliothek zu überprüfen. Möglicherweise müssen Sie zuerst das JWK- in das PEM-Format konvertieren.

In ähnlicher Weise können Sie sich fragen, was ein JWT enthalten sollte.

Derialisierte JWTs enthalten zwei Haupt-JSON-Objekte: den Header und die Nutzlast. Das Kopfobjekt enthält Informationen über die JWT selbst: die Art des Tokens, der verwendete Signatur- oder Verschlüsselungsalgorithmus, die Schlüssel-ID usw. Das Nutzdatenobjekt enthält alle relevanten Informationen des Tokens.

Ist JWT ein OAuth?

Grundsätzlich, JWT ist ein Token-Format. OAuth ist ein Autorisierungsprotokoll, das verwenden kann JWT als Zeichen. OAuth verwendet serverseitigen und clientseitigen Speicher. Wenn Sie sich wirklich abmelden möchten, müssen Sie mit gehen OAuth2.

Empfohlen: