Sebuah JSON Web Token (JWT) ialah token yang padat, selamat-URL, dan lengkap sendiri yang membawa claim tentang seorang pengguna. Server menandatanganinya sekali; selepas itu ia boleh verify token pada setiap request tanpa carian pangkalan data — itulah yang menjadikan auth berasaskan JWT bersifat stateless.
Sebuah JWT ialah , tiga segmen ber-encode base64url yang disambung dengan titik:
header.payload.signatureeyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 ← header
.eyJzdWIiOiIxMjMiLCJleHAiOjE3MDB9 ← payload (claims)
.dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1 ← signature
{ "alg": "HS256", "typ": "JWT" }.sub (subject/id pengguna), exp (tamat tempoh), iat (masa dikeluarkan), iss (pengeluar), serta apa-apa medan tersuai (role, email).Payload itu di-encode, bukan di-encrypt. Sesiapa sahaja boleh base64-decode dan membacanya, jadi jangan sesekali letak kata laluan atau rahsia di dalam JWT.
signature = HMAC-SHA256(
base64url(header) + "." + base64url(payload),
secret
)
Pada setiap request, server mengira semula signature ke atas header+payload yang diterima dan membandingkannya. Jika padan dan exp masih di masa hadapan, token itu dipercayai — tiada session store diperlukan.
const jwt = require("jsonwebtoken");
const token = jwt.sign({ sub: "123", role: "admin" }, SECRET, {
expiresIn: "15m",
});
try {
const claims = jwt.verify(token, SECRET); // membuang ralat jika diusik atau tamat tempoh
// claims.sub === "123"
} catch (e) {
// tolak: tidak sah atau tamat tempoh
}
Kerana pengesahan bersifat stateless, anda tidak boleh membatalkan sesuatu token sebelum ia tamat tempoh hanya dengan "memadam"nya di sisi server. Langkah biasa untuk mengurangkan:
jti) untuk logout/kompromi — ini memperkenalkan semula sedikit state.| Penyimpanan | Kelebihan | Kekurangan |
|---|---|---|
Cookie httpOnly | Tidak boleh dibaca oleh JS (lebih selamat daripada XSS) | Perlu perlindungan CSRF |
localStorage | Ringkas, tiada CSRF | Terdedah kepada XSS |
JWT menggerakkan authentication stateless merentasi API, microservice, dan SPA — sesuatu perkhidmatan boleh mempercayai sesuatu request dengan hanya mengesahkan signature, tanpa session store berkongsi. Tetapi statelessness yang sama itu ialah perangkap temu duga klasik: token tidak mudah dibatalkan, payload boleh dibaca, dan kekeliruan alg atau pemeriksaan tamat tempoh yang hilang ialah kerentanan sebenar. Mengetahui dengan tepat apa yang dilindungi oleh signature, dan apa yang tidak, adalah penting untuk menggunakan JWT dengan selamat.
Pustaka soalan temu duga IT dengan jawapan terperinci — daripada Junior hingga Senior.
Derma