JSON Web Token (JWT)

JSON Web Token (JWT), bir kullanıcı ya da istemciye dair iddiaları — bilgileri — taraflar arasında aktarılabilen imzalı bir dizge olarak temsil etmenin kompakt ve kendi kendine yeten bir yoludur. Noktalarla ayrılmış, Base64 ile kodlanmış üç bölümü vardır: bir başlık, iddiaları içeren bir yük (kullanıcı kimliği, roller ve bir son kullanma zaman damgası gibi) ve bir imza. Asıl fikir imzadır: bir gizli anahtar ya da özel anahtarla hesaplandığı için, eşleşen anahtara sahip herhangi bir sunucu, veritabanına başvurmadan jetonun gerçek ve değiştirilmemiş olduğunu doğrulayabilir. Bu durumsuzluk, JWT'lerin API kimlik doğrulaması ve tek oturum açmada (SSO) her yerde bulunmasının nedenidir — kimliği jetonun kendisi taşır. SaaS geliştiricileri için JWT, genellikle bir OAuth girişinden sonra alacağınız ya da servisler arası çağrılar için üreteceğiniz şeydir. İki pratik uyarı: yük imzalıdır, şifreli değildir; bu yüzden içine asla sır koymayın — iddiaları herkes okuyabilir. Ayrıca durumsuz bir jetonu süresi dolmadan iptal etmek kolay olmadığından, ömürleri kısa tutun ve yenileme jetonlarıyla eşleştirin.