JWT (token Json Web) Vs Token personalizzato

Question

Stavo esaminando le domande ma non ho trovato nulla che potesse risolvere il mio dubbio. Ho trovato informazioni dettagliate su JWT, ma non molto quando si confrontano i vantaggi che JWT potrebbe offrire rispetto alla generazione di un token personalizzato per le richieste di autenticazione rispetto ai servizi REST.

Qual è il vantaggio di utilizzare un JWT (Token Web JSON) per generare un token di generazione personalizzato? Per generare il token personalizzato, potrei usare una strategia di hashing o un generatore di numeri casuali univoci.

Se si genera un token personalizzato, potrei avere problemi di sicurezza? Consiglieresti di utilizzare qualsiasi altro mecanismo di autenticazione?

Grazie!

Answer 1

JWT tokens contiene attestazioni, che sono dichiarazioni sull'argomento (ad esempio l'utente che ha effettuato l'accesso). Queste dichiarazioni possono essere come nome, email, ruoli, ecc. I token JWT sono firmati digitalmente e non vulnerabili agli attacchi CSRF.

Queste due caratteristiche assicurano che il servizio che riceve il token non debba tornare al server di autenticazione di emissione per verificare la validità del token o ottenere informazioni sull'argomento.

Ciò aumenta la capacità di un sistema che utilizza token JWT di ridimensionarsi in modo significativo. I token JWT richiedono un canale di trasporto sicuro (HTTPS).

Lo svantaggio di questo è che i token non possono essere revocati (poiché non esiste un server centrale che protegga questi token). Ecco perché i token hanno in genere una vita breve.

I token in possesso di un session id d'altra parte devono contattare il server di autenticazione per convalidare il token (di solito ricerca del database) e recuperare informazioni sull'argomento (un'altra ricerca nel database).

La convalida di HMAC tokens richiede la conoscenza della chiave segreta utilizzata per generare il token. In genere il servizio di ricezione (la tua API) dovrà contattare il server di autenticazione in quanto quel server è dove viene conservato il segreto.

I token HMAC e gli ID di sessione sono in genere memorizzati nei cookie. I cookie non possono essere utilizzati per le chiamate di servizio tra domini e devono essere protetti dagli attacchi CSRF.

Answer 2

Da Django REST framework documentation,

JSON Web Token è un nuovo standard che può essere utilizzato per l'autenticazione basata su token. A differenza dello schema TokenAuthentication integrato, l'autenticazione JWT non ha bisogno di utilizzare un database per convalidare un token.