【認證與授權】JWT(JSON Web Token)簡介
更新於 2023/05/18閱讀時間約 5 分鐘
上一個篇章我們有介紹了「【認證與授權】Authentication、Authorization，傻傻分不清楚？」，相信對於兩者個區別已經有一定的認知了， 那麼這次的主軸在於介紹Authentication(認證)的其中一個技術JWT(Json Web Token), 為什麼說這項技術很重要?
隨著系統越來越複雜，雲端模式的興起，我們傳統的驗證機制已經無法負荷現今的大量使用情境，因此才衍生出「無狀態」的「令牌」機制，主要讓我們在有限的時間內得到可以通行的「通行證」。
在這段期間內我們是認證通過的狀態，因此可以隨意進出系統，而對於伺服端來說也不用去特別記住來的是誰，只認令牌不認人，看到這邊想必心中難免會有疑惑，這樣不是很危險嗎，的確，單純的通行證當然不行，所以我們才要搭配授權、更新令牌...的機制，這留在我們後面的章節會逐一介紹。
那就讓我們先來了解一下JWT(Json Web Token)這們技術吧！
概念: 有限時間內可使用通行證來要求對應的操作權限。
JWT 的組成內容有三個部分，由 . 做區隔，最後透過這三個部分，串成一個 Jwt 字串
[HEADER].[PAYLOAD].[SIGNATURE]
1. Header:
主要記載認證的方法
{"typ": "JWT","alg": "HS256" # 加密的方法(HS384、RS256、ES256...)}
2. Payload:
這部分可以裝載一些比較不敏感的資訊，通常建議裝載以下資訊(但不強制)。
- iss (Issuer) — jwt簽發者
- sub (Subject) — jwt所面向的用戶
- aud (Audience) — 接收jwt的一方
- exp (Expiration Time) — jwt的過期時間，這個過期時間必須要大於簽發時間
- nbf (Not Before) — 定義在什麼時間之前，該jwt都是不可用的
- iat (Issued At) — jwt的簽發時間
- jti (JWT ID) — jwt的唯一身份標識，主要用來作為一次性token,從而迴避重放攻擊
{"displayName": "John Doe","roles": ["$roleId", "roleId", ...]"iat": 1516239022,"exp": 1516239022}
我們也可以利用payload來裝載其它的資訊。
3. Signature
HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), 'secret')
簽名後得到Signature的字串，最後組成為
$base64Str(header).$base64Str(payload).$signature
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
JWT的驗證流程
優點
- 採用JSON的形式，大部分的程式語言皆支援。
- 可存放一些使用者資訊，但並非是敏感的資訊。
- 不用在Server端實做Session機制，特別適合多台Server的情境下，使得擴展性容易，因為多台Server要使用Session的話，會有共享Session的問題產生。
- 因為是透過header夾帶，因此不會有傳統用Cookie進行跨域請求等問題。
缺點
- JWT沒辦法主動被失效，也就是說不能像Session一樣被強制無效，只能等到過期。
如何拿jwt token去存取API?
curl -X GET "http://192.168.1.222:5002/users/me" -H "accept: application/json" -H "Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1aWQiOiI1ZThkOWUyYWQ0OWU2MzMzOTBiZWExYTgiLCJpYXQiOjE1ODg4MTE0MzksImV4cCI6MTU4ODgxNDQzOX0.LqgFDdMWXf_nYC3a4_wn8WV3BLqXaklwgGjXVRp2i3I"
為什麼會看到廣告
116會員
261內容數
哈囉，我是阿Han，是一位 👩💻 軟體研發工程師，喜歡閱讀、學習、撰寫文章及教學，擅長以圖代文，化繁為簡，除了幫助自己釐清思路之外，也希望藉由圖解的方式幫助大家共同學習，甚至手把手帶您設計出高品質的軟體產品。
留言0
查看全部
你可能也想看
Google News 追蹤
*合作聲明與警語：
本文係由國泰世華銀行邀稿。
證券服務係由國泰世華銀行辦理共同行銷證券經紀開戶業務，定期定額(股)服務由國泰綜合證券提供。
剛出社會的時候，很常在各種 Podcast 或 YouTube 甚至是在朋友間聊天，都會聽到各種市場動態、理財話題，像是：聯準會降息或是近期哪些科
最近協助小朋友背單字準備考試，發現官方的字彙本是PDF且有加上詞性，卻沒有中文解釋，所以我整理一下單字中英對照表，有興趣的請自行取用，並且點選喜歡，留言，加入我的沙龍。多謝
一開始先介紹什麼是YLE Movers
劍橋兒童英語認證（YLE）是劍橋大學英語考試院（Cambridge Assessm
專業按摩證照的取得一直是追求按摩技術人士的目標，而其中最為瞭解的莫過於按摩學徒的執照與認證之路。從身體撥筋教學到經絡按摩課程，這些專業訓練不僅是一門技術，更是一種承諾和責任。
身體撥筋教學是按摩技術中的重要一環，它不僅要求技巧熟練，更需要對人體結構和疾病有深入的了解。撥筋課程涵蓋了解剖學、生理學等
NIST 800-88 認證與其他抹除標準的全方位比較
索引
引言
NIST 800-88 標準要求
四大抹除標準比較
該使用何種抹除標準?
Q&A
引言
NIST 800-88，全名為《信息安全手冊》的第800-88號文件，是由美國國家標準技術研究所（NIST）所發布的一項
Netflix 最大的特色，大概就是在市場還沒全面看好前就持續投入。從一開始的 DVD 線上租賃服務到當今的串流事業，Netflix 經歷多次 pivot，包含亞馬遜（Amazon）併購失敗、放棄 DVD 銷售，後來轉型月費訂閱制、無延遲罰款，又或是百視達（Blockbuster）不願併購導致...
終於通過中高級了，超級開心的，來分享一下辛苦的過程，流淚撒種者必歡呼收割，雖然未來的路還很長，但至少已達成主要目標。
得知閩南語認證考試相關資訊剛好一年，從排斥台羅拼音到接受且認真學習，花了二個月自學，到後來數個月天天練習聽寫，這次成大認證台羅拼音聽寫考78分（總分80），感覺是蠻熟練了，台語老師
前言
只要把後端對外，或者網站對外，就一定會被攻擊，有自己用自己的電腦當 server 架站過就一定知道，只要一對外，每天都會收到一些隨機的攻擊，最常見就是別人在亂試 api 看能不能猜對，通常是猜不到啦，鬼知道你的 api 長什麼樣子，更別提要帶什麼參數，能猜對真的是會通靈。
儘管如此，你可能還是
session & token
驗證機制早期是用 session，server 這裡會發一個 session 給 client，並在資料庫記錄這個 session 屬於誰，而且每個裝置都會記一組 session，這會造成 server 這邊需要記錄大量的資料。
後來發展出 token，client
.NET Core — WebAPI + JWT 會員登入 與 權限管理
這是一門「 **純** 」後端的課程，所以不包含前端JS與HTML。
不建議「完全沒基礎」的朋友參與，擔心您跟不上。
提供試聽，所以沒有退費機制，請審慎考慮！
2C. JWT如何透過 Postman開始測試，片長 02:54
這是一個學員想學的題目，但他似乎連基礎的DB與CRUD都不熟悉
基礎不好，直接學JWT，我覺得太累了（前期準備不足，要花時間補上）
JWT比我想像複雜一點，即使網路上很多範例了
您需要學習，具備以下的簡單基礎：
基礎的 ASP.NET MVC與簡單的 Visual Studio操作
*合作聲明與警語：
本文係由國泰世華銀行邀稿。
證券服務係由國泰世華銀行辦理共同行銷證券經紀開戶業務，定期定額(股)服務由國泰綜合證券提供。
剛出社會的時候，很常在各種 Podcast 或 YouTube 甚至是在朋友間聊天，都會聽到各種市場動態、理財話題，像是：聯準會降息或是近期哪些科
最近協助小朋友背單字準備考試，發現官方的字彙本是PDF且有加上詞性，卻沒有中文解釋，所以我整理一下單字中英對照表，有興趣的請自行取用，並且點選喜歡，留言，加入我的沙龍。多謝
一開始先介紹什麼是YLE Movers
劍橋兒童英語認證（YLE）是劍橋大學英語考試院（Cambridge Assessm
專業按摩證照的取得一直是追求按摩技術人士的目標，而其中最為瞭解的莫過於按摩學徒的執照與認證之路。從身體撥筋教學到經絡按摩課程，這些專業訓練不僅是一門技術，更是一種承諾和責任。
身體撥筋教學是按摩技術中的重要一環，它不僅要求技巧熟練，更需要對人體結構和疾病有深入的了解。撥筋課程涵蓋了解剖學、生理學等
NIST 800-88 認證與其他抹除標準的全方位比較
索引
引言
NIST 800-88 標準要求
四大抹除標準比較
該使用何種抹除標準?
Q&A
引言
NIST 800-88，全名為《信息安全手冊》的第800-88號文件，是由美國國家標準技術研究所（NIST）所發布的一項
Netflix 最大的特色，大概就是在市場還沒全面看好前就持續投入。從一開始的 DVD 線上租賃服務到當今的串流事業，Netflix 經歷多次 pivot，包含亞馬遜（Amazon）併購失敗、放棄 DVD 銷售，後來轉型月費訂閱制、無延遲罰款，又或是百視達（Blockbuster）不願併購導致...
終於通過中高級了，超級開心的，來分享一下辛苦的過程，流淚撒種者必歡呼收割，雖然未來的路還很長，但至少已達成主要目標。
得知閩南語認證考試相關資訊剛好一年，從排斥台羅拼音到接受且認真學習，花了二個月自學，到後來數個月天天練習聽寫，這次成大認證台羅拼音聽寫考78分（總分80），感覺是蠻熟練了，台語老師
前言
只要把後端對外，或者網站對外，就一定會被攻擊，有自己用自己的電腦當 server 架站過就一定知道，只要一對外，每天都會收到一些隨機的攻擊，最常見就是別人在亂試 api 看能不能猜對，通常是猜不到啦，鬼知道你的 api 長什麼樣子，更別提要帶什麼參數，能猜對真的是會通靈。
儘管如此，你可能還是
session & token
驗證機制早期是用 session，server 這裡會發一個 session 給 client，並在資料庫記錄這個 session 屬於誰，而且每個裝置都會記一組 session，這會造成 server 這邊需要記錄大量的資料。
後來發展出 token，client
.NET Core — WebAPI + JWT 會員登入 與 權限管理
這是一門「 **純** 」後端的課程，所以不包含前端JS與HTML。
不建議「完全沒基礎」的朋友參與，擔心您跟不上。
提供試聽，所以沒有退費機制，請審慎考慮！
2C. JWT如何透過 Postman開始測試，片長 02:54
這是一個學員想學的題目，但他似乎連基礎的DB與CRUD都不熟悉
基礎不好，直接學JWT，我覺得太累了（前期準備不足，要花時間補上）
JWT比我想像複雜一點，即使網路上很多範例了
您需要學習，具備以下的簡單基礎：
基礎的 ASP.NET MVC與簡單的 Visual Studio操作