JWT (Json web token) Vs Custom Token

Question

Przeglądałem pytania, ale nie znalazłem niczego, co mogłoby rozwiać moje wątpliwości. Znalazłem obszerne informacje na temat JWT, ale niewiele, gdy porównywałem zalety, jakie JWT mogłaby zaoferować, generując niestandardowy token do żądań uwierzytelnienia wobec usług REST.

Jaka jest korzyść z używania JWT (Json Web Token) do generowania niestandardowego tokena generującego? Do wygenerowania tokena niestandardowego mogłem użyć strategii mieszania lub jakiegoś unikalnego generatora liczb losowych.

Jeśli wygeneruję niestandardowy token, czy mogę mieć jakiekolwiek obawy dotyczące bezpieczeństwa? Czy poleciłbyś skorzystać z innych metod uwierzytelniania?

Dzięki!

Answer 1

JWT tokens zawierają oświadczenia, które są oświadczeniami dotyczącymi tematu (na przykład zalogowanego użytkownika). Te stwierdzenia mogą być takie jak imię, e-mail, role itp. Tokeny JWT są podpisane cyfrowo i nie są podatne na ataki typu CSRF.

Te dwie cechy sprawiają, że usługa odbierająca token nie musi wracać do serwera potwierdzania autentyczności, aby zweryfikować ważność tokenu lub uzyskać informacje na jego temat.

Zwiększa to zdolność systemu wykorzystującego tokeny JWT do skalowania w znaczący sposób. Żetony JWT wymagają bezpiecznego kanału transportowego (HTTPS).

Wadą tego jest to, że tokeny nie mogą zostać odwołane (ponieważ nie ma centralnego serwera chroniącego te tokeny). To dlatego żetony mają zazwyczaj krótki czas życia.

Z drugiej strony, żetony posiadające session id muszą skontaktować się z serwerem uwierzytelniającym w celu sprawdzenia tokena (zazwyczaj przeszukiwania bazy danych) i pobrania informacji na ten temat (innego wyszukiwania bazy danych).

Walidacja numeru HMAC tokens wymaga znajomości tajnego klucza użytego do wygenerowania tokena. Zazwyczaj usługa odbierająca (Twój interfejs API) będzie musiała skontaktować się z serwerem uwierzytelniającym, ponieważ ten serwer jest tam, gdzie przechowywany jest klucz tajny.

Żetony HMAC i identyfikatory sesji są zwykle przechowywane w plikach cookie. Pliki cookie nie mogą być używane do wywoływania międzydomenowych usług i muszą być chronione przed atakami CSRF.

Answer 2

Od Django REST framework documentation,

JSON sieci Token jest to dość nowy standard, który może być używany do uwierzytelniania tokenów. W przeciwieństwie do wbudowanego schematu TokenAuthentication, uwierzytelnianie JWT nie musi używać bazy danych do sprawdzania poprawności tokena.