İstemci oturumlarımız olduğunda neden JWT'ye ihtiyacımız var?

Question

JWT'nin istemcinin iddiası hakkında imzalanmış bilgileri depolayan ve Yetkilendirme HTTP üstbilgisi aracılığıyla bir sunucuya aktarılan durum bilgisi olmayan belirteçler olduğunu anlıyorum.

Sorum şu ki, zaten istemci oturumlarımız olduğunda (https://github.com/mozilla/node-client-sessions) JWT'ye neden ihtiyacımız var? Müşteri oturumları kavramsal olarak aynıdır. Doğrulandığında, çerezin temperleme yapılmadığı anlamına gelen imzalı bilgileri içeren çerezlerdir. Ayrıca, istemci oturumları bir çerezde saklanır ve Cookie HTTP üstbilgisi üzerinden geçirilir. Sadece farklı kelimeler kullanarak aynı şey. Yanlış mıyım?

Peki, neden JWT bile buralarda? Belki de buradaki nokta, kimlik doğrulama jetonlarının çalışma şeklini standartlaştırmak olduğunu anlayabiliyordu, ancak oturum kimliği temelli bir standart olmaksızın para cezası aldık (her bir uygulama, kendi yöntemlerini gerçekleştirdi). Ayrıca, JWT neden bir transfer aracı olarak çerezleri kullanmazdı? Çerezlerle, her istek için (Ajax isteklerini basitleştirerek) doğru üstbilgiyi açıkça göndermeniz gerekmez.

Bir şey mi eksik?

Answer 1

JWT jetonları, bir kullanıcı (veya herhangi bir müdür) hakkında hak iddia eden JSON formatlı belgelerdir. Belirtecin yayınlayıcısına güvenirseniz, belirteçteki hak taleplerine güvenirsiniz ve buna bağlı olarak yetkilendirme kararları verebilirsiniz. Harici Web API'lerini çağırmak için genellikle JWT jetonları kullanılmaktadır. Bu API'lar mutlaka web sitenizle aynı alanda bulunmaz ve bu nedenle sitenizle aynı çerezleri kullanamaz. JWT simgeleri, sunucuda depolanan herhangi bir oturum bilgisine ihtiyaç duymadıklarından REST hizmetlerinde kullanılır. JWT jetonlarını kullanmak da CSRF saldırılarına karşı uygun değildir.