JWT(Json网络令牌)与自定义令牌

Question

我正在查看问题,但我找不到任何可以解决我怀疑的问题.我发现了有关JWT的大量信息,但在比较JWT在生成自定义令牌和针对REST服务的身份验证请求方面的优势时,并没有太多信息.

使用JWT(Json Web Token)生成自定义生成令牌有什么好处？要生成自定义令牌,我可以使用一些散列策略或一些独特的随机数生成器.

如果我生成自定义令牌,我可以有任何安全问题吗？您会建议使用任何其他身份验证机制吗？

谢谢!

Answer 1

JWT令牌包含声明,声明是关于主题的声明(例如登录用户).这些语句可以是名称,电子邮件,角色等.JWT令牌经过数字签名,不易受CSRF攻击.

这两个特征确保接收令牌的服务不需要返回发布认证服务器来验证令牌的有效性或获得关于主题的信息.

这增加了使用JWT令牌的系统以显着方式扩展的能力.JWT令牌确实需要安全的传输通道(HTTPS).

这样做的缺点是令牌不能被撤销(因为没有中央服务器守护这些令牌).这就是为什么令牌通常寿命很短的原因.

另一方面,持有会话ID的令牌确实需要联系身份验证服务器以验证令牌(通常是数据库查找)并检索有关主题的信息(另一个数据库查找).

HMAC令牌的验证需要知道用于生成令牌的密钥.通常,接收服务(您的API)需要联系身份验证服务器,因为该服务器是保存密码的位置.

HMAC令牌和会话ID通常存储在cookie中.Cookie不能用于跨域服务调用,需要针对CSRF攻击进行保护.