جی‌دبلیوتی

JWT مخفف JSON Web Token و قالبی برای انتقال مجموعه Claimهای امضاشده یا رمزگذاری‌شده است. JWT به‌خودی‌خود مجوز دسترسی ایجاد نمی‌کند.

کجا استفاده می‌شود؟

API می‌تواند Access Token را به‌صورت JWT ارائه کند و سرور باید امضا و Claimها را بررسی کند.

اشتباه رایج

JWT امضاشده قابل خواندن است و داده حساس نباید بی‌محافظ در Payload آن قرار گیرد.

ساختار توکن JWT

header.payload.signature
# Base64url encoded header and payload + signature

JWT در حالت رایج JWS فقط امضا می‌شود و رمزنگاری‌شده نیست. اطلاعات حساس را در Payload بدون نیاز قرار ندهید و در اعتبارسنجی، امضا، issuer، audience و زمان انقضا را بررسی کنید.