Làm cách nào để giải mã JWT mà không có bí mật?

Question

Nhóm Auth0 đã tạo một thứ gọi là "angular-jwt" có lớp jwtHelper. Điều này thành công giải mã một JWT địa phương mà không có bí mật tôi sử dụng trên máy chủ. Làm sao chuyện này lại xảy ra? Nếu chúng không an toàn, thì đâu là điểm sử dụng bí mật để ký/mã hóa chúng?

Function trên máy chủ mã hóa token (sử dụng "jsonwebtoken"):

function createToken (user) { 
    return jwt.sign(_.omit(user, 'password'), config.secret, { expiresInMinutes: 60*5 }); 
} 

Mã từ khách hàng:

angular 
    .module('sample.home', [ 
     'ui.router', 
     'angular-storage', 
     'angular-jwt' 
    ]) 
    .config(function ($stateProvider) { 
     $stateProvider 
      .state('home', { 
       url: '/', 
       controller: 'HomeCtrl', 
       templateUrl: 'modules/home/home.html', 
       data: { requiresLogin: true } 
      }) 
    }) 
    .controller('HomeCtrl', function homeController ($scope, $http, store, jwtHelper) { 

     $scope.jwt = store.get('jwt'); 
     $scope.decodedJwt = $scope.jwt && jwtHelper.decodeToken($scope.jwt); 

    }); 

Dưới đây là một liên kết đến các ví dụ đầy đủ: http://github.com/auth0/ang...

Answer 1

JWT sử dụng mã hóa, không mã hóa. Dữ liệu mà mã thông báo chứa không phải là bí mật, bất kỳ ai cũng có thể giải mã nó và xem. Những gì máy chủ làm, là nó dấu hiệu các mã thông báo bằng cách sử dụng một bí mật (trong trường hợp của bạn, config.secret), mà hiệu quả làm cho nó không thể sửa đổi các mã thông báo mà không biết bí mật. Do đó, chỉ có máy chủ mới có thể thay đổi nội dung của mã thông báo, nhưng bất kỳ ai cũng có thể đọc nó.