encryption - 什么时候用对称 key 签署 JWT 比使用非对称 key 更有用？

Question

在我看来，JWT 的主要优势在于任何客户都可以阅读声明并验证您是生成它们的人。但是，如果您使用对称 key 来计算签名，那么客户端必须知道您的签名 key 才能验证 JWT，此时他们可以生成他们想要的任何声明。为什么有人会选择对称算法而不是非对称算法？

一位用户的answer在另一个问题上说:

Symmetric keys are only to be used in a peer-to-peer way so it would be pointless for the receiver to modify JWTs for which only he and the sender have a shared key

如果通信是点对点的，那么他们一定在某个时候使用了安全协议(protocol)来交换 key ，那么在这种情况下，JWT 有什么用呢？

我问这个的原因是因为我看到的在 ASP.Net 中实现基于 JWT 的安全性的大多数示例都使用对称 key 。

Answer 1

token 并不总是必须由客户端验证。

例如，在基本的 Asp.Net 应用程序中，服务器既充当身份验证服务器，又充当授权服务器:

服务器创建 token 并在用户登录时将其提供给

用户在每次请求时将该 token 发送回服务器

服务器验证token，授权用户

在此示例中，如果客户端通过单独的方式(例如 TLS/SSL)验证服务器的真实性，则客户端不需要验证服务器返回的 token 。在这种情况下，使用对称加密算法的服务器没有问题。