JSON Web Tokens ஐக் குறிநீக்குங்கள்
JSON Web Token (JWT) ஒரு பயனர் அல்லது அமர்வு பற்றிய claims ஐ மூன்று பகுதிகளில் கொண்டுள்ளது: header, payload மற்றும் கையொப்பம்; ஒவ்வொன்றும் Base64URL இல் குறியாக்கம் செய்யப்பட்டு புள்ளிகளால் பிரிக்கப்பட்டுள்ளது. ஒரு token ஐ ஒட்டினால், அதன் header மற்றும் payload ஐ வடிவமைக்கப்பட்ட JSON ஆகவும், அது எப்போது வழங்கப்பட்டது, எப்போது காலாவதியாகிறது என்பதை உங்கள் உள்ளூர் நேரத்திலும் காண்பீர்கள்.
பகிரப்பட்ட ரகசிய விசையால் (HS256, HS384, HS512) கையொப்பமிடப்பட்ட tokens க்கு, கையொப்பம் சரியானதா என்பதைச் சரிபார்க்க ரகசிய விசையை உள்ளிடலாம். குறிநீக்கம் முழுவதும் உங்கள் உலாவியிலேயே நடைபெறுவதால், பெரும்பாலும் கணக்குகளுக்கான அணுகலை வழங்கும் tokens ஒருபோதும் எங்கும் அனுப்பப்படுவதில்லை.
இந்த JWT குறிநீக்கியை ஏன் பயன்படுத்த வேண்டும்?
- Header மற்றும் payload வடிவமைக்கப்பட்ட JSON ஆக
- காலாவதி, வழங்கல் மற்றும் not-before நேரங்கள் உங்கள் உள்ளூர் நேரத்தில்
- HS256, HS384 மற்றும் HS512 கையொப்பச் சரிபார்ப்பு
- தனிப்பட்டது: token உங்கள் உலாவியை விட்டு வெளியேறாது
JWT ஐக் குறிநீக்குவது எப்படி
- Token ஐப் புலத்தில் ஒட்டவும் — தொடக்கத்தில் உள்ள "Bearer " தானாக நீக்கப்படும்
- Header, payload மற்றும் காலாவதி நேரத்தைப் பாருங்கள்
- விருப்பமாக, HMAC கையொப்பத்தைச் சரிபார்க்க ரகசிய விசையை உள்ளிடவும்
அடிக்கடி கேட்கப்படும் கேள்விகள்
இந்த JWT குறிநீக்கி இலவசமா?
ஆம், இது முற்றிலும் இலவசம், எந்த வரம்புகளும் இல்லை.
JWT இன் payload மறைகுறியாக்கம் (encrypt) செய்யப்பட்டுள்ளதா?
இல்லை. சாதாரண (கையொப்பமிடப்பட்ட) JWT வெறுமனே குறியாக்கம் மட்டுமே செய்யப்பட்டுள்ளது: token வைத்திருக்கும் எவரும் அதன் payload ஐப் படிக்கலாம். கையொப்பம் token மாற்றப்படவில்லை என்பதை மட்டுமே நிரூபிக்கிறது — எனவே JWT payload இல் ஒருபோதும் ரகசியங்களை வைக்காதீர்கள்.
எந்தக் கையொப்பங்களைச் சரிபார்க்க முடியும்?
ரகசிய விசையைப் பயன்படுத்தி HMAC கையொப்பங்கள் (HS256, HS384, HS512). RS256, ES256 மற்றும் பிற பொது விசை அல்காரிதங்களால் கையொப்பமிடப்பட்ட tokens குறிநீக்கப்படும், ஆனால் அவற்றின் கையொப்பம் இங்கே சரிபார்க்கப்படாது.
உண்மையான token ஐ இங்கே ஒட்டுவது பாதுகாப்பானதா?
Token மற்றும் ரகசிய விசை உங்கள் உலாவியில் மட்டுமே செயலாக்கப்படுகின்றன, எங்கள் சேவையகத்திற்கு ஒருபோதும் அனுப்பப்படுவதில்லை. இருப்பினும், production tokens ஐக் கடவுச்சொற்களைப் போலக் கருதி, நீங்கள் நம்பும் சாதனங்களில் மட்டுமே ஒட்டவும்.