Qual é a diferença entre JWTs e Bearer Token?

105

Estou aprendendo algo sobre autorização, como Basic, Digest, OAuth2.0, JWTs e Bearer Token.

Agora eu tenho uma pergunta.

Você sabe que os JWTs estão sendo usados como um Access_Token no padrão OAuth2.0. Os JWTs aparecem no RFC 7519 e o Bearer Token está no RFC 6750.

Por exemplo, o portador:

Authorization: Bearer <token>

Eu costumava enviar token para o servidor por AJAX ou adicionar token à string de consulta do url. Eu sei que um token também pode ser enviado adicionando-o a um cabeçalho de solicitação. Isso significa que o token deve ser adicionado ao cabeçalho Authorization Bearer?

Você poderia me dizer a relação entre JWTs e Bearer Token? Muito obrigado.

oauth token jwt

— Laoqiren
fonte

85

JWT é um padrão de codificação para tokens que contém uma carga útil de dados JSON que pode ser assinada e criptografada.

O JWT pode ser usado para muitas coisas, entre elas estão os tokens de portador, ou seja, um pedaço de informação que você pode apresentar a algum serviço que, pelo fato de você ter (você sendo o "portador"), concede acesso a algo.

Os tokens do portador podem ser incluídos em uma solicitação HTTP de diferentes maneiras, uma delas (provavelmente a preferida) sendo o cabeçalho de autorização. Mas você também pode colocá-lo em um parâmetro de solicitação, um cookie ou no corpo da solicitação. Isso ocorre principalmente entre você e o servidor que está tentando acessar.

— Thilo
fonte

Então, como analisar o token no cabeçalho de autorização, existe um Bearer, tenho que usar String.slice (), existe algum middleware para analisá-lo?

— Laoqiren 02 de

Estou usando Node.js

— laoqiren

Use o auth-headerpacote se quiser um analisador mínimo

— Demurgos

1

Ou apenas use String.slice () :)

— Paul Siersma

138

Resposta curta

Os JWTs são uma maneira conveniente de codificar e verificar reivindicações .

Um token do portador é apenas uma string, potencialmente arbitrária, que é usada para autorização.

Contexto (tempo da história)

Alguns anos atrás, antes da revolução JWT, a <token>era apenas uma string sem significado intrínseco, por exemplo, 2pWS6RQmdZpE0TQ93X. Esse token foi então pesquisado em um banco de dados, que continha as declarações desse token. A desvantagem dessa abordagem é que o acesso ao banco de dados (ou um cache) é necessário sempre que o token é usado.

Os JWTs codificam e verificam (por meio de assinatura) suas próprias declarações . Isso permite que as pessoas emitam JWTs de curta duração sem estado (leia-se: autocontido, não dependa de ninguém). Eles não precisam acertar o DB. Isso reduz a carga do banco de dados e simplifica a arquitetura do aplicativo porque apenas o serviço que emite os JWTs precisa se preocupar em atingir a camada de banco de dados / persistência (o refresh_tokenque você provavelmente encontrou).

— rmharrison
fonte

Obrigado, e quanto ao Mac na autorização, o Mac e o Bearer são iguais?

— laoqiren

Melhor resposta em outro lugar, por exemplo: dzone.com/articles/oauth-20-bearer-token-profile

— rmharrison

-4

Os JWTs funcionam com dois tipos de token, Token de parâmetro: token de acesso passado como parâmetro. Símbolo do portador: é passado no cabeçalho com 'Portador'.