JWT (Json web token) Vs Benutzerdefiniertes Token

Question

Ich habe die Fragen durchgesehen, aber ich habe nichts gefunden, was meine Zweifel lösen könnte. Ich habe umfangreiche Informationen über JWT gefunden, aber nicht viel, wenn ich die Vorteile vergleichen würde, die JWT gegenüber dem Generieren eines benutzerdefinierten Tokens für Authentifizierungsanforderungen gegenüber REST-Diensten bieten könnte.

Welchen Vorteil hat die Verwendung eines JWT (Json Web Token) gegenüber dem Generieren eines benutzerdefinierten generierenden Tokens? Um das benutzerdefinierte Token zu generieren, könnte ich eine Hash-Strategie oder einen eindeutigen Zufallsgenerator verwenden.

Wenn ich ein benutzerdefiniertes Token generiere, könnte ich irgendwelche Sicherheitsbedenken haben? Würden Sie einen anderen Authentifizierungsmechanismus empfehlen?

Danke!

Answer 1

JWT tokens enthalten Ansprüche, die Aussagen zum Thema sind (zum Beispiel der eingeloggte Benutzer). Diese Anweisungen können Dinge wie Name, E-Mail, Rollen usw. sein. JWT-Token sind digital signiert und nicht anfällig für CSRF Angriffe.

Diese beiden Merkmale stellen sicher, dass der Dienst, der das Token erhält, nicht zum ausstellenden Authentifizierungsserver zurückkehren muss, um die Gültigkeit des Tokens zu überprüfen oder Informationen über das Subjekt zu erhalten.

Dies erhöht die Fähigkeit eines Systems, das JWT-Token verwendet, in signifikanter Weise zu skalieren. JWT-Tokens benötigen einen sicheren Transportkanal (HTTPS).

Der Nachteil davon ist, dass Tokens nicht widerrufen werden können (da es keinen zentralen Server gibt, der über diese Token wacht). Aus diesem Grund haben Tokens typischerweise eine kurze Lebensdauer.

Token, die eine session id auf der anderen Seite halten, müssen den Authentifizierungsserver kontaktieren, um das Token zu validieren (normalerweise Datenbanksuche) und Informationen zum Thema abzurufen (eine andere Datenbanksuche).

Die Validierung von HMAC tokens erfordert die Kenntnis des geheimen Schlüssels, der zum Generieren des Tokens verwendet wird. In der Regel muss der empfangende Dienst (Ihre API) den Authentifizierungsserver kontaktieren, da der Server dort ist, wo das Geheimnis aufbewahrt wird.

HMAC-Tokens und Sitzungs-IDs werden normalerweise in Cookies gespeichert. Cookies können nicht für domainübergreifende Serviceanrufe verwendet werden und müssen vor CSRF-Angriffen geschützt werden.

Answer 2

Von Django REST framework documentation,

JSON Web-Token sind ein ziemlich neuer Standard, der für Token-basierte Authentifizierung verwendet werden kann. Im Gegensatz zum integrierten TokenAuthentication-Schema muss die JWT-Authentifizierung keine Datenbank zur Überprüfung eines Tokens verwenden.