Question 1

Τι είναι το JWT (JSON Web Token);

Accepted Answer

Το JWT (JSON Web Token) είναι ένα ανοιχτό πρότυπο για την ασφαλή μετάδοση πληροφοριών μεταξύ μερών ως αντικείμενο JSON. Αποτελείται από τρία μέρη: Header, Payload και Signature, διαχωρισμένα με τελείες. Τα JWT χρησιμοποιούνται ευρέως για πιστοποίηση και ανταλλαγή πληροφοριών.

Question 2

Πώς λειτουργεί ένας αποκωδικοποιητής JWT;

Accepted Answer

Ένας αποκωδικοποιητής JWT χωρίζει το token σε τελείες και αποκωδικοποιεί κάθε μέρος (Header και Payload) από την κωδικοποίηση Base64URL για να εμφανίσει το περιεχόμενο JSON. Η Signature παραμένει κωδικοποιημένη καθώς χρησιμοποιείται για επαλήθευση. Δεν απαιτείται μυστικό κλειδί για την αποκωδικοποίηση ενός JWT.

Question 3

Είναι ασφαλής η αποκωδικοποίηση ενός JWT;

Accepted Answer

Ναι, η αποκωδικοποίηση ενός JWT είναι ασφαλής. Διαβάζει μόνο το περιεχόμενο του token χωρίς να επαληθεύει την υπογραφή. Ωστόσο, μην αποθηκεύετε ποτέ ευαίσθητα δεδομένα σε payload JWT καθώς ο καθένας μπορεί να τα αποκωδικοποιήσει. Τα JWT είναι κωδικοποιημένα, όχι κρυπτογραφημένα.

Question 4

Ποια είναι τα τρία μέρη ενός JWT;

Accepted Answer

Ένα JWT έχει τρία μέρη: 1) Header - περιέχει τον τύπο token και τον αλγόριθμο υπογραφής (π.χ. HS256, RS256). 2) Payload - περιέχει claims όπως δεδομένα χρήστη, χρόνο λήξης (exp), εκδότη (iss) και θέμα (sub). 3) Signature - επαληθεύει την ακεραιότητα και την αυθεντικότητα του token.

Question 5

Ποιους αλγορίθμους υποστηρίζει το JWT;

Accepted Answer

Το JWT υποστηρίζει πολλές οικογένειες αλγορίθμων: HMAC (HS256, HS384, HS512) για συμμετρική υπογραφή, RSA (RS256, RS384, RS512) για ασύμμετρη υπογραφή, ECDSA (ES256, ES384, ES512) και EdDSA. Ο αλγόριθμος καθορίζεται στο Header.

Question 6

Αυτό το εργαλείο επαληθεύει τις υπογραφές JWT;

Accepted Answer

Όχι, αυτό το εργαλείο αποκωδικοποιεί μόνο το token για να εμφανίσει Header, Payload και Signature. Η επαλήθευση υπογραφής απαιτεί το μυστικό κλειδί (για HMAC) ή το δημόσιο κλειδί (για RSA/ECDSA). Αυτό το εργαλείο είναι για εντοπισμό σφαλμάτων και επιθεώρηση, όχι πιστοποίηση.

Question 7

Ποια είναι η διαφορά μεταξύ JWT και cookies συνεδρίας;

Accepted Answer

Τα JWT είναι χωρίς κατάσταση - όλες οι πληροφορίες χρήστη αποθηκεύονται στο ίδιο το token, οπότε ο διακομιστής δεν χρειάζεται να διατηρεί αποθήκευση συνεδριών. Τα cookies συνεδρίας απαιτούν αποθήκευση στην πλευρά του διακομιστή. Τα JWT είναι ιδανικά για API και μικροϋπηρεσίες.

Question 8

Μπορώ να τροποποιήσω ένα αποκωδικοποιημένο JWT;

Accepted Answer

Μπορείτε να αποκωδικοποιήσετε και να διαβάσετε ένα JWT ελεύθερα, αλλά η τροποποίηση του Payload ή Header θα ακυρώσει την Signature. Ένα παραποιημένο JWT θα αποτύχει στην επαλήθευση υπογραφής στην πλευρά του διακομιστή. Αυτό καθιστά τα JWT ανθεκτικά στην παραποίηση.

Question 9

Ποια είναι η διαφορά μεταξύ κωδικοποίησης και κρυπτογράφησης JWT;

Accepted Answer

Η κωδικοποίηση JWT (Base64URL) είναι μια αντιστρέψιμη μετατροπή που καθιστά το token συμπαγές και ασφαλές για URL. Δεν παρέχει εμπιστευτικότητα. Η κρυπτογράφηση JWT (JWE) προσθέτει ένα επίπεδο κρυπτογράφησης που προστατεύει το περιεχόμενο payload.

Question 10

Πού χρησιμοποιούνται συνήθως τα JWT;

Accepted Answer

Τα JWT χρησιμοποιούνται ευρέως σε: συστήματα ενιαίας σύνδεσης (SSO), πρωτόκολλα OAuth 2.0 και OpenID Connect, πιστοποίηση RESTful API, επικοινωνία μεταξύ υπηρεσιών και πιστοποίηση εφαρμογών για κινητά.

Question 11

Πώς μπορώ να καταλάβω αν ένα JWT έχει λήξει;

Accepted Answer

Ελέγξτε την ενότητα Payload για το claim "exp" (χρόνος λήξης). Περιέχει μια χρονική σήμανση Unix που υποδεικνύει πότε λήγει το token. Αν ο τρέχων χρόνος είναι μετά την τιμή exp, το token έχει λήξει.

Αποκωδικοποιητής JWT

Πώς να χρησιμοποιήσετε το Αποκωδικοποιητής JWT