Question 1

Vì sao công cụ không xác thực chữ ký?

Accepted Answer

Vì xác thực cần khoá bí mật hoặc khoá công khai của bên phát hành. Yêu cầu người dùng dán khoá bí mật vào một trang web là tập cho họ một thói quen nguy hiểm, vì lần sau họ có thể dán vào một trang không tử tế. Nếu cần xác thực thì làm ở phía máy chủ, nơi khoá vốn đã nằm sẵn.

Question 2

Nội dung trong JWT có được mã hoá không?

Accepted Answer

Không. Phần payload chỉ được viết bằng Base64URL, ai có token cũng đọc được nội dung trong một giây. Chữ ký chỉ đảm bảo nội dung không bị sửa, không đảm bảo nội dung được giấu. Đừng bao giờ để dữ liệu riêng tư trong payload.

Question 3

Token của tôi báo hết hạn nhưng hệ thống vẫn nhận?

Accepted Answer

Nhiều máy chủ cho phép lệch giờ vài chục giây để chịu được sai số đồng hồ giữa các máy. Ngoài ra đồng hồ máy bạn có thể sai. Nếu lệch nhiều thì kiểm lại đồng hồ hệ thống trước khi nghi ngờ token.

Question 4

Ba phần của token là gì?

Accepted Answer

Header nói thuật toán ký và loại token. Payload chứa các claim, tức là thông tin về chủ thể và quyền hạn. Phần thứ ba là chữ ký, tính từ hai phần đầu cộng với khoá. Ba phần ngăn nhau bằng dấu chấm.