security - JWT(Json 网络 token )与自定义 token

Question

我正在浏览问题，但没有找到任何可以解决我的疑问的东西。我发现了有关 JWT 的大量信息，但在比较 JWT 相对于生成自定义 token 以针对 REST 服务的身份验证请求所能提供的优势时，并没有太多。

与生成自定义生成 token 相比，使用 JWT(Json Web token )有什么优势？为了生成自定义 token ，我可以使用一些散列策略或一些独特的随机数生成器。

如果我生成自定义 token ，我是否有任何安全问题？
您会建议使用任何其他身份验证机制吗？

谢谢!

Answer 1

JWT tokens包含声明，这是关于主题(例如登录用户)的声明。这些声明可以是姓名、电子邮件、角色等。JWT token 经过数字签名，不易受到 CSRF 的影响。攻击。

这两个特性确保了接收 token 的服务不需要回到颁发认证服务器来验证 token 的有效性或获取有关主题的信息。

这大大提高了使用 JWT token 的系统的扩展能力。 JWT token 确实需要安全传输 channel (HTTPS)。

这样做的缺点是不能撤销 token (因为没有中央服务器保护这些 token )。这就是 token 通常具有较短生命周期的原因。

持有 session id 的代币另一方面，确实需要联系身份验证服务器以验证 token (通常是数据库查找)并检索有关主题的信息(另一个数据库查找)。

验证 HMAC tokens需要知道用于生成 token 的 key 。通常，接收服务(您的 API)需要联系身份验证服务器，因为该服务器是保存 secret 的地方。

HMAC token 和 session ID 通常存储在 cookie 中。 Cookie 不能用于跨域服务调用，需要防范 CSRF 攻击。