JWT
JWT (JSON Web Token) ist ein kompakter, in sich geschlossener Token, der Claims sicher als JSON-Objekt übermittelt; weit verbreitet für zustandslose Authentifizierung und Informationsaustausch.
Zweck
Authentifizierungsinformationen zwischen zustandslosen Diensten übermitteln und serverseitige Sitzungsspeicherung eliminieren.
Mechanismus
Er besteht aus drei Teilen — Header (Algorithmus).Payload (Claims).Signature —, alle Base64URL-kodiert. Die Signatur nutzt HMAC oder RSA; ihre Prüfung garantiert Integrität. Claims umfassen iss (Aussteller), exp (Ablauf) und sub (Subjekt). Der Token ist nicht verschlüsselt; sensible Daten gehören nicht in den Payload.
Anwendungsfälle
- Zustandslose API-Authentifizierung
- OAuth-2.0-Tokens
- SSO-Identitätsübertragung über Domänen
- Service-zu-Service-Authentifizierung
Beispiele
- Eingabe
header.payload.signatureOutputRead the payload after verifying the signatureBase64URL plus signature
Häufige Fehler
- Placing sensitive data in the payload (it is only Base64, not encryption)
- Keep only non-sensitive claims in the payload
Verwandte Begriffe
OAuth
OAuth 2.0 ist ein Autorisierungsframework, das Drittanbieter-Apps mit Zustimmung des Benutzers per Token auf dessen Ressourcen zugreifen lässt, ohne Passwörter zu teilen. GLOSSAR
Cookie
Ein Cookie ist ein vom Server gesetztes und vom Browser gespeichertes Schlüssel-Wert-Paar, das automatisch mit Same-Origin-Requests für Sitzungs- und Zustandsverwaltung gesendet wird. GLOSSAR
HMAC
HMAC (hashbasierter Nachrichtenauthentifizierungscode) ist ein MAC, der eine Hashfunktion mit einem geheimen Schlüssel kombiniert und Integrität und Authentizität liefert. GLOSSAR
Bearer Token
Ein Bearer-Token ist ein Tokentyp, der rein über den Besitz funktioniert: Er wird im Header Authorization: Bearer <token> gesendet, sodass jeder, der ihn besitzt, ihn verwenden kann — ohne zusätzliche Zugangsdaten. GLOSSAR