Webقیمت

(WEB)

یک JSON Web Token (JWT) یک استاندارد باز (RFC 7519) برای انتقال امن اطلاعات بین طرفین به عنوان یک شی JSON است. هدف اصلی آن فعال کردن احراز هویت و مجوز بدون حالت (stateless) و امن در برنامه‌های وب است. این امکان را فراهم می‌کند که ادعاها (اطلاعات) به صورت دیجیتالی امضا شوند، که تضمین می‌کند داده‌ها دستکاری نشده‌اند و اصالت فرستنده را تأیید می‌کند. این آن را به روشی فشرده و مستقل برای نمایش امن اطلاعات برای کارهایی مانند تأیید هویت کاربر تبدیل می‌کند.

گردش کار JWT زمانی آغاز می‌شود که کاربر با موفقیت وارد سیستم می‌شود، و سرور را وادار می‌کند تا یک JWT به کلاینت صادر کند. این توکن، که معمولاً حاوی ادعاهای خاص کاربر و زمان انقضا است، سپس در سمت کلاینت ذخیره می‌شود. برای درخواست‌های بعدی جهت دسترسی به منابع حفاظت‌شده، کلاینت این JWT را در هدر درخواست قرار می‌دهد. سرور، پس از دریافت چنین درخواستی، امضای دیجیتال توکن را با استفاده از یک کلید مخفی تأیید می‌کند. این اعتبار سنجی، یکپارچگی و اصالت توکن را تأیید می‌کند. بر اساس ادعاهای موجود در توکن، سرور سپس کاربر را احراز هویت می‌کند و مجوز او برای دسترسی به منبع درخواستی را تعیین می‌کند، بدون نیاز به پرس‌وجو از پایگاه داده برای اطلاعات نشست.

از JSON Web Token (JWT) به طور مؤثر برای چندین مورد استفاده کلیدی بهره‌برداری می‌شود. آن‌ها عمدتاً برای مجوزدهی استفاده می‌شوند، که به کاربران اجازه می‌دهد پس از ورود اولیه، به طور امن به مسیرها و منابع مجاز دسترسی پیدا کنند. توکن به عنوان یک اعتبارنامه عمل می‌کند که هویت و مجوزهای کاربر را ثابت می‌کند. یک کاربرد مهم دیگر، تبادل امن اطلاعات بین طرفین است، جایی که امضای دیجیتال یکپارچگی و اصالت داده‌های منتقل شده را تضمین می‌کند. علاوه بر این، JWTها سنگ بنای پیاده‌سازی Single Sign-On (SSO) در چندین دامنه یا سرویس هستند، که کاربران را قادر می‌سازد یک بار وارد سیستم شوند و به طور یکپارچه به برنامه‌های مرتبط مختلف دسترسی پیدا کنند.

ادغام JWTها مزایای زیادی را به همراه دارد که امنیت و کارایی یک برنامه را افزایش می‌دهد. آن‌ها احراز هویت بدون حالت (stateless) را فعال می‌کنند، به این معنی که سرور نیازی به ذخیره داده‌های نشست ندارد، که منجر به بهبود مقیاس‌پذیری و کاهش بار سرور می‌شود. JWTها به دلیل امضای دیجیتال خود در برابر دستکاری مقاوم هستند، که یکپارچگی و اصالت داده‌ها را تضمین می‌کند. ماهیت فشرده و مستقل آن‌ها امکان انتقال آسان را فراهم می‌کند و مدیریت نشست را ساده می‌کند. علاوه بر این، JWTها از سازگاری بین پلتفرمی پشتیبانی می‌کنند، که آن‌ها را برای استفاده در کلاینت‌ها و سرویس‌های مختلف، چندکاره می‌سازد. این ویژگی‌ها به یک سیستم احراز هویت و مجوز قوی‌تر، کارآمدتر و امن‌تر کمک می‌کنند.

در حالی که یک JSON Web Token (JWT) به معنای تأیید مستقیم اعتبار کاربر، یک روش احراز هویت نیست، اما یک جزء حیاتی است که به شدت برای احراز هویت و مجوز پس از ورود به سیستم استفاده می‌شود. این به عنوان یک اعتبارنامه امن و مستقل عمل می‌کند که کلاینت‌ها آن را به سرور ارائه می‌دهند تا هویت و وضعیت مجوز خود را برای درخواست‌های بعدی اثبات کنند. JWTها اغلب به طور یکپارچه با پروتکل‌های امنیتی گسترده‌تر، مانند OAuth 2.0، ادغام می‌شوند. در چنین سناریوهایی، OAuth 2.0 فرآیند اعطای مجوز را مدیریت می‌کند، در حالی که JWTها معمولاً برای نمایش توکن‌های دسترسی صادر شده استفاده می‌شوند و راهی استاندارد و امن برای انتقال اطلاعات مجوز فراهم می‌کنند.

محموله (payload) یک JWT حاوی 'ادعاهای' مختلفی است که بیانیه‌هایی در مورد یک موجودیت، اغلب کاربر، و داده‌های اضافی هستند. ادعاهای استاندارد، که به عنوان ادعاهای ثبت شده نیز شناخته می‌شوند، برای استفاده عمومی از پیش تعریف شده‌اند و قابلیت همکاری را افزایش می‌دهند. مثال‌های کلیدی شامل `iss` (صادرکننده)، که موجودیتی را که JWT را صادر کرده است، شناسایی می‌کند؛ `sub` (موضوع)، که اصلی را که توکن در مورد او اطلاعاتی را ادعا می‌کند، شناسایی می‌کند؛ `aud` (مخاطب)، که گیرندگانی را که JWT برای آن‌ها در نظر گرفته شده است، مشخص می‌کند؛ `exp` (زمان انقضا)، که زمانی را نشان می‌دهد که پس از آن JWT نباید پذیرفته شود؛ `iat` (زمان صدور)، که زمان صدور JWT را نشان می‌دهد؛ و `jti` (شناسه JWT)، یک شناسه منحصربه‌فرد برای JWT.