encryption - 加密 JWT 有效负载

Question

JWT 有 3 个部分:

标题:算法和 token 类型

有效载荷:数据

使用 key 验证签名

是否可以加密有效载荷？以下是我的 token 的有效负载:

{
"iss": "joe",
"exp": "1300819380",
"data": {
    "id": "12",
    "userName": "PH",
    "qntRed": "7",
    "qntGrad": {
        "1": "800",
        "2": "858",
        "3": "950",
        "4": "745",
        "5": "981"
    }
}

如果“qntGrad”包含敏感数据。我可以使用 key 对其进行加密吗？它仍然是有效的 JWT 吗？

Answer 1

事实上，不仅有签名的 JWT，还有 RFC 描述的几种技术:

JW 小号 JSON Web Signature (RFC 7515) ,

JW 电话 JSON Web Token (RFC 7519) ,

JW 邮箱 JSON Web Encryption (RFC 7516) ,

JW 一个 JSON Web Algorithms (RFC 7518) .

JW 克 JSON Web Key (RFC 7517) .

在您的情况下，请阅读 RFC7516 (JWE)。这些 JWE 有 5 个部分:

protected 标题

加密 key

初始化向量

密文

认证标签

根据您的平台，您可能会找到一个库来帮助您创建此类加密的 JWT。关于 PHP , 我在写 a library已经能够加载和创建这些何塞。