我可以将JWT(JSON Web Token)身份验证用于我们新的REST API吗?

Question

我的身份验证调用了其他服务器的API，我没有数据库表(我的服务器上不存在用户名和密码(。在这种情况下如何使用 JWT 身份验证？ 谢谢。

Answer 1

当您尝试实现自己的身份验证服务器时，您必须有一个包含用户名和密码的数据库。

但是，在用户拥有其 JWT 令牌后，只要过期时间尚未过去并且签名密钥在您的身份验证和 API 服务器之间共享，它就可以向您的 API 服务器进行身份验证，因为您需要检查攻击者是否可能修改了它。

过期时间过后，客户端需要颁发新令牌。您通常会使用第二个刷新令牌，它具有更长的过期时间，并根据数据库进行检查以颁发新的访问令牌。

你可以自己实现这一点，但我强烈建议你使用OAuth2这样的技术，因为OAuth用于所有主要品牌，如谷歌，Twitter，Github等，并且经过了良好的漏洞测试。