تأیید نشانه های وب JSON

AUTH0 برای انتقال ایمن داده ها ، احراز هویت و مجوز استفاده می کند. توکن ها باید در برنامه های منظم وب ، بومی و تک صفحه ای تجزیه و تأیید شوند تا مطمئن شوند که این نشانه به خطر نمی افتد و امضای آن معتبر است. در صورتی که این نشانه ، به عنوان مثال ، سوء استفاده ، سوء استفاده یا منقضی شده باشد ، باید نشانه های امنیتی تأیید شود. اعتبار سنجی برای اطمینان از کمترین میزان ریسک ، ساختار ، مطالبات و امضا را بررسی می کند.

برای بازرسی بصری JWT ، به JWT.io مراجعه کرده یا از پسوند Chrome Debugger JWT استفاده کنید).

امضای توکن JWT با استفاده از a. در حالی که توکن ها می توانند از چندگانه استفاده کنند ، Auth0 از رمزگذاری RS256 ، RSA با عملکرد هش SHA-256 یا HS256 ، کد تأیید اعتبار پیام HMAC (MAC) با SHA-256 پشتیبانی می کند. برای کسب اطلاعات بیشتر در مورد الگوریتم توصیه شده Auth0 ، الگوریتم های امضا را بخوانید. هنگام اعتبارسنجی JWT ، به طور کلی ، مقدار هش فعلی و مقدار هش اصلی تجزیه شده یا رمزگشایی می شوند ، سپس در مقایسه با تأیید امضای توکن معتبر است. تمام API Quickstarts با پس زمینه ما از SDK هایی استفاده می کنند که اعتبار سنجی JWT را برای شما انجام می دهند.

تجزیه و اعتبارسنجی

• با استفاده از هر میان افزار موجود برای چارچوب وب خود.
• انتخاب یک کتابخانه شخص ثالث از JWT.io.
• Manually implementing the checks described in specification RFC 7519>7. 2 اعتبار سنجی JWT.

ما اکیداً توصیه می کنیم که از میان افزار یا یکی از کتابخانه های شخص ثالث موجود برای تجزیه و اعتبار JWT استفاده کنید. در JWT.io ، می توانید کتابخانه هایی را برای سیستم عامل ها و زبانهای مختلف مانند .net ، Python ، Java ، Ruby ، Objective-C ، Swift و PHP پیدا کنید.

ظروف میانبر

بسیاری از چارچوب های وب ، مانند ASP.net Core ، شامل Middleware JWT هستند که دارای اعتبار JWT هستند. به طور معمول ، این بهترین مسیر برای طی کردن است زیرا میان افزار به خوبی با مکانیسم های احراز هویت کلی چارچوب ادغام می شود.

کتابخانه های شخص ثالث

اگر یک کتابخانه شخص ثالث را انتخاب می کنید ، کتابخانه ای را انتخاب کنید که از الگوریتم امضای انتخاب شده هنگام ثبت نام برنامه یا API خود با AUTH0 پشتیبانی کند. همچنین ، توجه داشته باشید که همه کتابخانه ها تمام ادعاهای JWT را تأیید نمی کنند. در jwt.io ، می توانید ببینید که هر کتابخانه از کدام اعتبارسنجی پشتیبانی می کند (به دنبال علائم چک سبز باشید).

اکثر کتابخانه های شخص ثالث یک روش را برای تأیید JWT و ایجاد در استدلال های مختلف به کار می برند تا به شما امکان می دهد تا تأیید را سفارشی کنید. به عنوان مثال ، اگر از Node. js و کتابخانه Node-JsonWebtoken استفاده می کنید ، با روش JWT. Verify () تماس می گیرید. این روش از یک آرگومان الگوریتم پشتیبانی می کند تا به شما امکان می دهد الگوریتم های مجاز خود را سفارشی کنید (اطمینان حاصل کنید که هیچ کدام را مجاز نیستید) ، یک آرگومان SecretorPublickey که با راز یا کلید عمومی RSA (بسته به الگوریتم امضا شده انتخاب شده) و سایر آرگومان های ورودی که جمع می کنید ، جمع می کنید. به شما امکان می دهد اعتبار سنجی ادعا را سفارشی کنید. در صورت عدم موفقیت ، کتابخانه خطای JSONWebTokenerror را با پیام jwt ناقص باز می گرداند ، پس از آن شما باید درخواست مرتبط را رد کنید.

توصیه های کلی برای استفاده از کتابخانه های شخص ثالث:

• برای به دست آوردن مطالبات از JWT ، از روش Verify () برای اعتبارسنجی مطالبات و امضای استفاده کنید. از استفاده از روش رمزگشایی () برای اعتبارسنجی یک نشانه خودداری کنید ، به خصوص اگر از آن ناشی شود.
• تمام دستورالعمل های مربوط به نحوه استفاده از کتابخانه انتخاب شده را با دقت دنبال کنید. این کتابخانه می تواند به مقادیر پیش فرض یا تنظیماتی که می تواند خطرات امنیتی ایجاد کند ، اعتماد کند.

چک ها را به صورت دستی اجرا کنید

ما از انجام اعتبار سنجی دستی JWT دلسرد می شویم زیرا ممکن است اجرای نادرست به راحتی انجام شود و برخی از جزئیات مهم را که منجر به آسیب پذیری های جدی امنیتی می شود ، از دست ندهیم. بیشتر کتابخانه های JWT از اعتبار JWT برای شما مراقبت می کنند. برای یافتن یک کتابخانه JWT برای پلتفرم و زبان برنامه نویسی خود به JWT.io مراجعه کنید.

برای راهنمایی در مورد چگونگی اعتبار سنجی دستی JWT ، به RFC 7519 مراجعه کنید. همه JWT های صادر شده Auth0 دارای امضای وب JSON (JWS) هستند ، به این معنی که آنها به جای رمزگذاری امضا می شوند.

نشانه های امضا شده Rs256 را تأیید کنید

برای تأیید بصری نشانه های امضا شده Rs256:

1. Go to Dashboard>برنامه های کاربردی.
2. به نمای تنظیمات بروید و تنظیمات پیشرفته را باز کنید.
3. به نمای گواهینامه ها بروید ، قسمت گواهی امضا شده را پیدا کنید و کلید عمومی را کپی کنید.
4. به وب سایت JWT.io بروید ، کشویی الگوریتم را پیدا کنید و Rs256 را انتخاب کنید.
5. بخش Signature Verify را پیدا کنید و کلید عمومی را که قبلاً به جای محتوای موجود در این زمینه کپی کرده اید ، بچسبانید ----- کلید عمومی را شروع کنید -----.

برای تأیید امضای یک نشانه از یکی از برنامه های خود:

توصیه می کنیم کلید عمومی را از JWK های مستاجر خود در اینجا دریافت کنید: https: ///. well-knowjwks. json

بیشتر بدانید

• ادعاهای توکن وب JSON
• تأیید نشانه های شناسه
• تأیید نشانه های دسترسی
• بهترین روشها