Is comhartha dlúth, sábháilte do URL, féinchuimsitheach é JSON Web Token (JWT) a iompraíonn éilimh (claims) faoi úsáideoir. Sínealaíonn an freastalaí uair amháin é; ina dhiaidh sin is féidir leis an comhartha a fhíorú ar gach iarratas gan cuardach bunachair sonraí — sin é a fhágann go bhfuil fíordheimhniú bunaithe ar JWT gan stát (stateless).
Is é atá i JWT, trí mhír ionchódaithe base64url ceangailte le poncanna:
header.payload.signatureeyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 ← header
.eyJzdWIiOiIxMjMiLCJleHAiOjE3MDB9 ← payload (éilimh)
.dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1 ← signature
{ "alg": "HS256", "typ": "JWT" }.sub (subject/id úsáideora), exp (dul in éag), iat (eisithe ag), iss (eisitheoir), mar aon le haon réimse saincheaptha (role, email).Tá an payload ionchódaithe, ní criptithe. Is féidir le duine ar bith é a dhí-ionchódú le base64 agus a léamh, mar sin ná cuir pasfhocail ná rúin i JWT riamh.
signature = HMAC-SHA256(
base64url(header) + "." + base64url(payload),
secret
)
Ar gach iarratas, athríomh an freastalaí an síniú thar an header+payload a fuarthas agus déanann sé comparáid air. Má mheaitseálann siad agus má tá exp sa todhchaí, cuirtear muinín sa chomhartha — níl aon stór seisiúin de dhíth.
const jwt = require("jsonwebtoken");
const token = jwt.sign({ sub: "123", role: "admin" }, SECRET, {
expiresIn: "15m",
});
try {
const claims = jwt.verify(token, SECRET); // caitheann earráid má cuireadh isteach air nó má chuaigh in éag
// claims.sub === "123"
} catch (e) {
// diúltaigh: neamhbhailí nó imithe in éag
}
Toisc go bhfuil an fíorú gan stát, ní féidir leat comhartha a neamhbhailíochtú sula dtéann sé in éag díreach trína "scriosadh" ar thaobh an fhreastalaí. Maolú coitianta:
jti) le haghaidh logála amach/comhréitigh — cuireann sé seo beagán stáit ar ais.| Stóráil | Buntáiste | Míbhuntáiste |
|---|---|---|
Fianán httpOnly | Ní féidir le JS é a léamh (níos sábháilte ó XSS) | Éilíonn cosaint CSRF |
localStorage | Simplí, gan CSRF | Nochta do XSS |
Tugann JWTanna cumhacht do fhíordheimhniú gan stát ar fud API-nna, micrisheirbhísí, agus SPAnna — is féidir le seirbhís muinín a chur in iarratas trí shíniú amháin a fhíorú, gan aon stór seisiúin roinnte. Ach is é an neamhstáit chéanna sin an gaiste clasaiceach agallaimh: ní féidir comharthaí a chúlghairm go héasca, tá an payload inléite, agus is leochaileachtaí fíora iad mearbhall alg nó seiceáil dul in éag ar iarraidh. Tá sé riachtanach fios a bheith agat go beacht cad a chosnaíonn an síniú, agus cad nach gcosnaíonn, chun JWTanna a úsáid go sábháilte.
Leabharlann de cheisteanna agallaimh TF le freagraí mionsonraithe — ó Shóisearach go Sinsearach.
Síntiús