Jwt令牌授权不起作用
Jwt令牌授权是一种用于身份验证和授权的开放标准。它通过在请求中传递令牌来验证用户身份，并授权用户访问特定资源。然而，如果Jwt令牌授权不起作用，可能有以下几个可能的原因和解决方法：
- 令牌生成或签名错误：Jwt令牌通常由服务器生成并使用密钥进行签名。如果生成或签名过程中出现错误，可能导致令牌无效。解决方法是检查令牌生成和签名的代码逻辑，确保正确生成和签名令牌。
- 令牌过期：Jwt令牌通常具有有效期限，一旦过期就会失效。解决方法是在生成令牌时设置适当的有效期，并在验证令牌时检查令牌是否过期。如果令牌过期，可以要求用户重新进行身份验证或使用刷新令牌来获取新的令牌。
- 令牌未正确传递或解析：Jwt令牌通常作为请求的头部或参数进行传递。如果令牌未正确传递或解析，服务器将无法验证令牌。解决方法是确保客户端正确传递令牌，并在服务器端正确解析令牌。
- 令牌验证逻辑错误：服务器在验证Jwt令牌时可能存在逻辑错误，导致令牌无效。解决方法是检查令牌验证逻辑，确保正确验证令牌的签名、有效期等信息。
- 令牌与用户权限不匹配：Jwt令牌通常包含用户的权限信息，服务器在验证令牌时需要检查用户是否具有访问特定资源的权限。如果令牌与用户权限不匹配，服务器将拒绝访问。解决方法是检查用户权限和令牌中的权限信息是否匹配。
腾讯云提供了一系列与身份验证和授权相关的产品和服务，例如腾讯云身份认证服务（CAM）和腾讯云访问管理（TAM）。CAM提供了身份验证和访问控制的功能，可以帮助用户管理和控制访问腾讯云资源的权限。TAM提供了一套完整的身份验证和授权解决方案，包括用户管理、身份认证、访问控制等功能。
更多关于腾讯云身份认证服务（CAM）的信息，请访问：腾讯云身份认证服务（CAM）
更多关于腾讯云访问管理（TAM）的信息，请访问：腾讯云访问管理（TAM）
相关·内容
我使用tymon/jwt auth包在我的laravel项目中集成jwt api身份验证。现在我意识到我的令牌在特定的时间后被销毁了。所以我需要增加令牌的过期时间。我试着像下面这样做-
JWTAuth::attempt($input,['exp' => Carbon\Carbon::now()->addDays(150)->timestamp]))
但是这种方式不起作用。有谁可以帮我？
浏览 2提问于2021-04-22得票数 0
1回答
我的带护照的应用-JWT不想正常工作，因为登录后我只能看到
未经授权
登录算法本身工作良好，因为它检查用户凭证等，但护照应该使用JWTStrategy的部分根本不起作用。我在这里遇到了许多问题和答案，希望能找到答案，但我看不出有什么有用的东西。我创建的整个概念都是使用构建的，但是改变了一些细节。
fromAuthHeaderAsBearerToken => fromAuthHeaderWithScheme('jwt')
但还是不起作用。登录后，我看不到浏览器上设置的任何新cookie。问题可能在哪里？最重要的是，我甚至无法在我的Passport.js上打印和打印P
浏览 0提问于2018-06-11得票数 0
1回答
我有三个服务器：-授权服务器- api服务器-前端服务器
授权服务器返回JWT自包含访问令牌(+刷新令牌)。JWT不存储在授权服务器中的任何位置。我想用非对称加密保护JWT，我不确定我的想法是否正确。让我来描述一下流程：
从Fronted Server登录后，授权服务器获取用户凭据，然后生成JWT令牌并使用公钥对其进行编码。
Fronted Server接收加密的JWT令牌，客户端(web浏览器)将其保存为HTTP专用cookie。
客户端向安全资源发送请求，因此FrontEnd基于获得的编码JWT令牌，请求安全数据API。
基于安全JWT和私钥解密值的API，并检查用户是否有
浏览 0提问于2020-02-18得票数 1
我一直在阅读，因为它在OAuth中使用JWT (JSON令牌)。
在和中，它指出JWT可以用作授权赠款或客户端身份验证。
根据我的理解，身份验证是识别某个东西(这个用户是他声称的那个人)，授权是检查一个用户是否被允许做他所要求的事情。
JWT作为授权授予是有意义的，因为请求是通过签名而隐式标识的。大多数支持此方法的API使用JWT作为授权授予。见和。
这让我很困惑。为什么需要JWT身份验证作为一个单独的东西？在什么情况下/用例下需要JWT身份验证？
浏览 2提问于2013-01-12得票数 5
2回答
我有以下函数，它通过创建响应头对用户进行身份验证：
function authenticateUser(res, id) {
const payload = {
id
}
const token = jwt.sign(payload, config.JWT_KEY, {
expiresIn: '24h'
})
res.set('authorization', token)
res.redirect('/user/profile')
res.end()
}
但是
浏览 4提问于2022-08-01得票数 2
我的资源服务器公开了一个API，该API期望使用OpenID连接获得JWT访问令牌。
到目前为止，资源服务器端的验证包括使用领域公钥验证JWT访问令牌签名，并检查其他一些参数作为过期时间。
由于访问令牌是一个JWT，所以我已经了解了有关用户的信息(子、角色声明等)。因此，我不需要调用内省端点来获得它。
然而，内省端点也具有令牌的活动状态。使用它作为JWT访问令牌验证过程中的另一个步骤是否有意义？这是否真的有必要，还是我认为它是有效的，只检查签名和其他索赔？
为验证而只调用另一个端点的附加延迟的权衡值得吗？
浏览 0提问于2020-04-03得票数 2
回答已采纳
4回答
JWT术语一直困扰着我，原因有几点。JWT是否适合授权，还是仅用于身份验证？
如果我错了，请纠正我，但我一直认为授权是允许某人访问资源的行为，但是JWT似乎没有任何实际允许用户访问给定资源的实现。所有的JWT实现都是为用户提供一个令牌。然后，通过对后端服务端点的每次调用传递此令牌，在该端点中检查其有效性，以及是否授予有效访问权。因此，我们可以对任何用户的Authentication使用JWT，但是我们如何限制对特定有效用户的访问？
我们如何使用JWT来根据用户的角色限制几个用户呢？JWT是否也提供了任何类型的授权细节，还是仅仅提供了我们的身份验证？
提前感谢你的帮助和耐心地阅读我的怀疑。
浏览 0提问于2018-01-22得票数 25
2回答
现在，许多开发人员使用JWT身份验证来授权api调用。顺便说一句，如果黑客能够捕获经过身份验证的用户的api调用请求，那么他就可以拥有经过身份验证的JWT令牌。然后，黑客可以使用授权的JWT令牌访问这个api，而无需进行身份验证。这样行吗？我想知道JWT身份验证实际上是安全的。你能解释一下吗？
浏览 5提问于2017-08-04得票数 0
回答已采纳
1回答
API网关应该负责授权吗？
、、、、
目前，我有一个带有Java/Spring的monolith应用程序，其端点如下：
/login
/logout
/some-resource
要访问some-resource，流程如下：
用户向POST端点发出/login请求。如果凭据正确，则在标头中返回JWT令牌，否则返回401。
用户将JWT令牌连同请求一起发送到/some-resource。如果令牌有效，则返回资源，否则为403。
现在，我想将monolith分成两个服务："AuthServer“和"SomeResourceServer”。顶部将有一个API网关。我正在考虑两种可能的处
浏览 1提问于2018-06-05得票数 12
回答已采纳
1回答
我已经实现了JWT的令牌基身份验证和授权。我正在使用下面的代码来销毁JWT令牌或注销当前用户，但它不起作用。
//var claim = _httpContextAccessor.HttpContext.User.Claims;
// var users = await _userManager.FindByNameAsync(_httpContextAccessor.HttpContext.User.Identity.Name);
// var identity = _httpContextAccessor.HttpContext.User.
浏览 1提问于2017-09-11得票数 6
我有一个场景，OIDC看起来很合适:一个移动应用程序，用户需要从服务器上获取一些私有数据。我读过OIDC教程，我想我理解它们，但在全球图片中仍然有一个关键的“漏洞”。
总之，如果我正确地理解了OIDC的代码流，这是对交互的简要总结：
移动应用程序将与OIP授权端点联系，在scope中表示我们对用户的电子邮件感兴趣。它将作为redirect_uri提供一个指向运行在移动应用程序中的简单web服务器的指针。
OIP将通过redirect_uri与移动应用程序联系，并向其提供授权代码。
移动应用程序现在将与OIP令牌端点联系，并向其提供步骤2中获得的授权代码，它还将为OIP提供一个必须发
浏览 3提问于2017-01-24得票数 1
回答已采纳
我使用Sprint、security和JWT完成了一个示例应用程序，并定义了我的自定义身份验证和授权过滤器。在执行基本身份验证(传递用户名和密码)时，我得到了xxxx.yyyy.zzzz格式的JWT令牌，其中xxxx是头，yyyy是有效负载，zzzz是签名，每个部分都使用Base64URL编码器进行编码。我不明白的是，JWT与OAuth 2.0有何不同。在OAuth 2.0中，我们可以将2种类型的grant_types传递为“用户名”或“客户端凭据”&还需要传递客户端id、秘密id才能获得访问和刷新令牌。
请帮助澄清以下疑问：- 1) JWT比OAuth 2.0轻吗，因为它不包含刷新令
浏览 1提问于2018-11-20得票数 0
1回答
微服务如何在异步通信中授权？
、、、、
我实现了在ASP.NET核心和UI中开发的一组微服务的身份验证和授权。相互作用/交流是指：
通过case)Micro-services网关(OCELOT)进行的UI <->微服务，授权是通过JWT完成的。(此<->微服务中没有问题，是异步的，并通过服务总线完成。
想知道如何使用JWT在2，Micro<->微服务中实现授权.这里不想通过基于证书的实现。虽然我们已经通过私有网络、白名单进行了一些保护，但考虑到深度的保护，但在考虑微服务之间异步通信的JWT过程中，我们也能实现授权吗？这样做是很好的做法吗？以及如何在这种情况下实现JWT。
浏览 2提问于2020-02-27得票数 1
回答已采纳
1回答
Web API颁发的访问令牌的默认格式是什么？我正在开发具有个人用户帐户(用于身份验证)的ASP.NET Web API的标准模板。根据我的理解，该格式不是JWT令牌格式；但是令牌的格式是什么呢？我尝试过Base64解码，但不起作用。另外，根据我的理解，令牌包含与索赔相关的信息，如果我错了，请纠正我。虽然我使用Web API已经有一段时间了，但出于好奇心我还是问了这个问题。
任何正确方向的指导都会有所帮助。谢谢!！
浏览 1提问于2021-10-03得票数 0
1回答
我正在为 创建。
实现连接器的部分过程是编写一个从AuthBase扩展requests.auth类的身份验证例程。
问题是Docusign 不支持用于JWT授权的刷新令牌。根据
JWT授予的访问令牌在一个小时后到期，并且不提供刷新令牌。在令牌过期后，您必须生成一个新的JWT并将其交换为一个新的访问令牌。
您可以重用大部分旧断言，只需修改IAT和EXP值并更新签名，然后提交更新的JWT以获得新的访问令牌。一般来说，使用JWT的应用程序应该在现有的访问令牌到期前15分钟获得一个新的访问令牌。
但是，的这一部分(链接到requests-authlib文档中的 )中的“后端应用程序流”中的所有
浏览 3提问于2022-02-24得票数 0
回答已采纳
我们正在开发与DocuSign的集成。我们使用嵌入式签名和JWT身份验证。我们从DocuSign合作伙伴解决方案团队收到信息，在JWT身份验证中，我们可以将访问令牌的过期时间设置为很长时间。
基于这些信息，我设计了解决方案，因此我们手动执行JWT身份验证流程:获得用户同意，生成JWT，将过期设置为一年，并使用它获得一个长期过期的访问令牌。
现在我们走出沙箱开始生产。我们正在测试该解决方案的30天跟踪生产帐户。我们得到了用户的同意。我生成JWT并将过期设置为不同的时间段(一天、一个月、一年)，但是我总是得到一个只持续一个小时的访问令牌。
PS，我浏览了，它说明了关于JWT属性的如下内容：
默认
浏览 2提问于2020-01-19得票数 0
回答已采纳
1回答
我的servlet将授权头作为"Bearer JWT_TOKEN“或"Bearer OAUTH_TOKEN”来接收。
如何识别令牌是JWT还是OAUTH？
浏览 7提问于2022-05-11得票数 0
回答已采纳
1回答
我正在开发一个登录页面，该页面使用JWT进行授权。授权在后端运行良好。但是，当我试图使用VueJS的axios对页面进行授权时，会发现一个错误，即缺少授权头。我想知道如何将访问令牌传递到前端。我的python代码是：
from flask import Flask,jsonify, render_template , url_for
,redirect,session,request
from flask_sqlalchemy import SQLAlchemy
from flask_bcrypt import Bcrypt
from flask_cors import CORS
fro
浏览 15提问于2022-07-12得票数 2
我使用速成网关作为API网关中间件，有以下设置。
Express网关仅用作网关，服务器位于不同的位置，并将所有登录请求路由到auth服务器以获得jwt，多资源服务器位于快速网关的后面。它不会授权或验证任何请求。所有传入请求都被视为已通过身份验证的。
我已经设置了EG配置，这样它就可以验证JWT，并且只通过正确的JWT传递请求。因为网关本身的授权checkCredentialExistence。
问题
当用户发送注销请求时，我将撤销来自auth服务器的访问和刷新令牌。但是，被撤销的JWT令牌仍然是一个有效的令牌。网关继续使用已撤销的jwt传递传入请求。
如果JWT在Express网关中仍然有效，
浏览 6提问于2020-02-24得票数 0
回答已采纳
我正在尝试使用Docusign API在身份验证中构建JWT Grant flow。
我通常会收到"invalid_grant“或"invalid_request”错误。
返回带有code参数和jwt标记的重定向uri。
我所理解的是，我需要在我的服务器上创建一个JWT来进一步利用它进行身份验证，而这个JWT的结构也没有利用这个code参数。
我需要使用GUUID来获取用户的，该用户刚刚使用电子邮件地址同意了我的服务器。
然后使用该GUUID创建我们的JWT，现在可以工作了吗？
但在所有这一切中，我们没有使用在code参数中返回的JWT。
为什么它在那里它是令人困惑的？
浏览 20提问于2021-02-17得票数 0
回答已采纳
我有一个Spring Boot服务器，它通过使用谷歌作为身份验证提供者来执行整个OAuth 2.0授权流程。我使用Spring库，它已经为像OAuth和Facebook这样的提供商提供了OAuth端点的过滤器。
我有一个React前端，当用户单击登录时，它会打开一个新窗口，其中的URL指向服务器上的Google authorisation端点，从而启动此流程。
当服务器成功地对用户进行身份验证并从Google检索到JWT令牌时，我需要将此令牌传递回React前端并存储令牌，以便用户可以使用它向我的后端API发出授权请求。
据我所知，我无法让前端向后端发送get请求以获取令牌，因为OAuth授权
浏览 41提问于2021-05-09得票数 2
我正在创建一个包含身份验证(不含身份)的web服务，并使用JWT保护APIS (当用户登录或通过电子邮件、密码、名称等注册时返回令牌)。但我也有一个微软登录/注册使用MSAL，我还创建了一个Azure应用程序。如何使用microsoft验证登录以返回JWT，或者如何使用JWT和Azure AD实现API授权。
浏览 4提问于2021-01-19得票数 0
回答已采纳
我需要了解为什么AAD发布的刷新令牌不是JWT格式(我使用Auth Code授权类型生成刷新令牌)。它看起来与令牌的0.ATYAoWHs1YRqUk-OAYpDkwKjaYAEJhrbDpBNmWw7q0NZVas2APk....(rest类似)。
另外，如果我们可以获得JWT格式的刷新标记，那么我们如何做到这一点呢？
谢谢Abhishek
浏览 0提问于2020-03-31得票数 1
我在IIS后的服务器上部署了一个ASP.NET核心REST API。Angular JS Web应用和移动(Android/IOS)应用使用REST API。对于授权，我使用JWT token()。最近通过安全审计，他们发现存储在本地存储中的JWT可以被来自同一组织的其他攻击者窃取并用于冒充(例如，员工使用Manager的功能)。 我想把这个人或那台机器标记到那个JWT上，这样当JWT被盗时，攻击者就不会滥用它，也不会对被盗的令牌有任何用途。我尝试使用JWT标记标记IP，并将这些查找存储在服务器中(在内存缓存中)。下面是我尝试过的代码，它不起作用。 private readonly IHtt
浏览 29提问于2019-01-03得票数 0
回答已采纳
1回答
对于oauth访问，授权服务器必须检查令牌的有效性。是否有一种方法可以做到这一点，而不对资源服务器的每个请求进行往返授权服务器？我已经对JWT做了一些解读，似乎因为JWT可以签名，所以它应该能够由资源服务器进行验证，而无需转到授权服务器？IIUC有什么标准/简单的方法来做这与春季安全oauth？
浏览 2提问于2017-09-10得票数 0
回答已采纳
1回答
我试图将几个邮递员请求串在一起进行测试。
在第一个请求中，我将一个全局变量设置为测试脚本。
测试‘’Status代码为200‘= (responseCode.code === 200)；if (responseCode.code === 200) { try { let jwt = responseBody.replace(/"/g，'')；pm.globals.set("jwt"，jwt)；console.log(“变量将被设置为”jwt)；}responseCode.code(E){ console.log(e)；}}
在第二个请求中，我运行
浏览 2提问于2018-10-01得票数 3
回答已采纳
我正在研究Oauth2，以允许开发人员授权其应用程序的用户使用我的服务。我发现一些消息来源说，当用户发送断言(在我的例子中是JWT)时，我的授权服务器应该返回访问令牌，但它不应该返回刷新令牌。我想知道返回刷新令牌有什么坏处。开发人员可以通过调用一个Api来使刷新/访问令牌无效，该Api使从特定JWT的id授予的任何访问权限无效。
浏览 4提问于2017-02-23得票数 1
JWT概要引入了将OAuth2用作授权授权和客户端身份验证的可能性。
JWT客户端身份验证特性独立于特定的授权类型，可以与任何授权类型一起使用，也可以与客户端凭据授权一起使用。
但是，使用JWT授权类型似乎与使用带有JWT客户端身份验证的客户端凭据授权完全相同，只是语法略有不同。
在这两种情况下，客户端都会联系令牌端点以获取访问令牌：
POST /token.oauth2 HTTP/1.1
Host: as.example.com
Content-Type: application/x-www-form-urlencoded
grant_type=urn%3Aietf%3Aparams%3A
浏览 0提问于2015-04-16得票数 31
回答已采纳
1回答
我一直在研究，它展示了如何使用从简单到我们自己授权服务器的几种场景来保护单个页面应用程序，授权服务器将身份验证委托给提供者。第一个场景使用登录用户。
假设我们将Facebook的OAuth服务器替换为我们自己的JWT服务器，并将其配置为返回一个JWT令牌。
如果SPA想要使用JWT令牌来保护通过负载在资源服务器之间的负载平衡的边缘服务器的请求，那么SPA应该使用哪个OAuth流？
另外，如果我们想要使用JWT令牌来替换spring中的默认JSESSION和CSRF支持，那么应该如何配置spring引导/ spring安全性？IIUC -- JWT令牌--可以用来替代这两个特性。
更新
根据Ma
浏览 0提问于2017-10-04得票数 3
回答已采纳
是否有理由使用header授权来发送JWT令牌？
我对使用授权头和cookie感到困惑。
如果我用饼干，
服务器将在cookie中发送JWT令牌。(客户端将存储在cookie中)。
如果使用授权头，服务器将通过报头发送JWT令牌，客户端将将令牌存储在本地存储中。
我想这两个人都很容易受到安全的伤害。我查过几个帖子，但只说这两种方法都很危险。
请帮助我理解这一点。谢谢。
浏览 10提问于2022-05-10得票数 3
我正在开发一个Web，实现了基于JWT的身份验证。我既不使用PasswordJS中间件也不使用Oauth协议。它基本上是JWT npm，我用它来签名和验证令牌。
令牌的整个概念非常清楚，但我与术语“令牌方案”非常混淆，无法理解它的用途。
我想了解的是:是否需要使用某种类型或自定义的“JWT”方案，并在令牌被发送回服务器以进行进一步的请求时验证它，还是只需要Oauth使用这个概念，而我只需要发送普通的令牌？
var accessToken = jwt.sign({
userID: user.id,
isAdmin: user.isAdmin
}, config.userSecre
浏览 4提问于2017-11-09得票数 0
回答已采纳
由于本地存储和会话存储都可以通过JavaScript访问，所以最好不要将身份验证JWT存储在其中任何一个中，以避免XSS攻击。
既然OpenID连接2.0是在一个单独的域上执行的，那么我们如何设置一个服务器端仅包含经过身份验证的JWT的cookie呢？
我猜是这样：
用户转到您的网站，然后单击登录。
用户被重定向到第三方OpenID连接2.0提供程序。
用户登录，现在重定向到您选择的路由: www.example.com/myredirectlogin。
然后，当重定向到达我的路由并在URI中的JWT令牌中传递时，用户的浏览器会发出一个get请求。
然后，服务器使用提供者提
浏览 11提问于2019-12-28得票数 1
回答已采纳
我有一个带有spring引导的简单资源服务器应用程序，这是yaml文件：
server:
port: 8081
servlet:
context-path: /resource-server-jwt
spring:
security:
oauth2:
resourceserver:
jwt:
issuer-uri: http://localhost:8083/auth/realms/rasool
现在，我希望对配置或代码进行更改，以强制spring安全性通过调用授权服务器的内省端点来验证JWT令牌，而不是使用键进
浏览 8提问于2022-08-07得票数 2
回答已采纳
当我尝试调用我的自定义授权程序时，我得到一个错误。我这样叫它：
aws --region eu-central-1 iot test-invoke-authorizer --authorizer-name go-dev-iot-authorizer --token "$TOKEN" --token-signature "$SIGNATURE"
(其中$TOKEN和$SIGNATURE是包含JWT令牌及其AWS签名的bash变量)
这是我得到的回应：
An error occurred (InvalidRequestException) when calling
浏览 0提问于2018-04-04得票数 0
1回答
在通过login.microsoftonline.com对自己进行身份验证之后，我有一个来自Azure的JWT，它具有https://sts.windows.net/...的iss值(经过一些研究，这似乎是由于JWT的"ver": 1.0 )。为了获得https://login.microsoftonline.com/...发布的JWT，我更新了应用程序的报表，使accessTokenAcceptedVersion被设置为2，而不再是默认的null。
我等待了5个多小时，但是我还是得到了错误的令牌版本，我一直用"ver": 1.0和"iss":
浏览 1提问于2021-01-21得票数 2
回答已采纳
1回答
LDAP方案解释
、、、、
我试图系统地了解oauth + jwt + LDAP授权。我读过多篇优秀的文章(即)，但仍有一些关于这方面的问题：
我的理解是：
JWT是允许单点登录(SSO)的令牌。它比简单的令牌更安全，因为它加密了所有特定于用户的信息(例如userName、密码、clientAppId、ip地址等)。此信息由内部授权服务器密钥签名，攻击者不能更改。
从，请看下面的短语。正如我所理解的，这意味着每个HTTP前端服务器都不需要查找会话数据。但是它需要查找授权服务器。有什么好处？这不是同一个单一的失败点吗？为什么JWT被认为是STATEless？JWT仍然需要将用户数据保存在权威服务器上，
浏览 2提问于2016-12-07得票数 11
回答已采纳
我有两个服务器和前端客户机：
在向客户端发出jwt令牌之后，一个服务器授权并对用户进行身份验证。
前端客户端还使用jwt令牌作为授权头访问第二个后端服务器。
JWT秘密在这两个服务器上是相同的(用SH256加密)。
问题：
是否有其他选择来保持令牌安全，并防止第三方javascripts对其进行强制处理？因为客户端从jwt令牌获得一些数据，所以http-only cookie不合适。
您认为现有流中存在一些安全缺陷吗？
浏览 0提问于2021-06-28得票数 2
我很难找到一种很好的方法来实现OAuth2.0和OpenID连接身份验证，同时使用B2B安全性为B2B应用程序的API进行现有的内部email+password身份验证。
我们有一个后端REST，它是一个servlet应用程序，它目前使用OAuth 1.0和password授权对用户进行身份验证。前端是一个有角度的单页应用程序，用户必须使用他们的用户名和密码登录。然后，API的/oauth/token端点提供一个不透明的访问令牌，用于获取安全资源，然后在应用程序中显示这些资源。
我们希望增加使用OpenID连接使用外部身份验证登录的可能性，这是切换到OAuth 2.0和JWT令牌的绝佳机会。然
浏览 3提问于2022-08-12得票数 0
1回答
我现在正在实现一种基于微服务的架构。我在我的 (用于身份验证和授权的微服务)中使用UsersService来生成令牌，并在其他每个微服务中使用基本的JWT验证工具，以确保JWT是合法的(包括对每个微服务上被撤销的令牌的直接访问)。
目前，我正在使用建议的体系结构，提供访问和刷新令牌。
我考虑的是不直接向客户端公开JWT访问令牌，而是实现一个API网关，该网关将在每个请求上将刷新令牌转换为JWT。然后将JWT传递给内部微服务，以确保内部安全。
为此，客户端只需要访问刷新令牌，因为常规的JWT(寿命非常短)只用于身份验证和授权用户内部的。我计划在这些JWT中包含所有权限和范围信息，而刷新令牌将只有
浏览 4提问于2021-12-22得票数 1
回答已采纳
1回答
Web :授权或/和身份验证
、、、、
我创建了asp.net web项目。我需要添加授权或/和身份验证。我读过很多关于OAuth、SAML、JWT、HMAC等的文章，每次我看到作者都强调OAuth不是身份验证，您需要将authN与authZ区别开来。我有点困惑，因为我不明白：
当我需要使用身份验证(SSO，登录/密码)和何时授权(OAuth，令牌)的API？
HMAC、JWT是用于授权还是用于身份验证？因为它们是经过签名的，所以我可以将userid添加到此令牌中，使用类似于用户标识符。
authN工作流和authZ工作流有什么真正的区别？
浏览 7提问于2015-10-14得票数 0
回答已采纳
OAuth2.0使用秘密作为对称密钥，例如HMACSHA256算法用来生成签名。这个秘密很重要，否则任何人都可以创建一个“有效的”JWT令牌并呈现给服务器。例如，如果我创建了一个JWT，并对其签名，则该签名是有效的。只有服务器知道秘密或对称密钥。所以我不能创建一个与服务器“传递”的JWT，因为我不知道服务器的秘密。到目前一切尚好。现在，如果有多个服务器和多个微服务，因此可能有几十个服务器，那么所有这些服务器都需要知道相同的秘密，以便JWT在所有服务器中“传递”。这似乎是一个很大的漏洞。如果一台服务器被攻破，并且秘密已知，那么所有服务器都可能被攻破。此外，缓解这一问题的小方法是不时轮换秘密。如何
浏览 4提问于2020-08-05得票数 0
1回答
假设我有一个AWS Lambda和一个相关的API Gateway端点API (例如/user/{userid}/activities)。
此API既可以从经过身份验证的用户调用，也可以从未经过身份验证的用户调用，并基于此执行不同的操作。
经过验证的用户是拥有有效JWT的用户。未通过身份验证的用户，没有JWT，或者他们的JWT已过期或无效。
此JWT由自定义授权者验证，该授权者根据令牌的签名、公钥和其他参数(过期日期、颁发者等)进行验证。
与/user/{userid}/activities相关的lambda需要知道自定义授权器是否已经验证(或没有)相关的调用，因此可以选择应该使用什么行为。
浏览 1提问于2017-08-02得票数 0
在我看来，JWT的主要优点是，任何客户端都可以读取声明并验证您是生成声明的人。但是，如果您使用对称密钥来计算签名，那么客户端必须知道您的签名密钥来验证JWT，此时他们可以生成他们想要的任何声明。为什么有人会选择对称算法而不是非对称算法？
一个用户的在另一个问题上说：
对称密钥只能以对等方式使用，因此接收方修改只有他和发送方有共享密钥的JWTs是没有意义的。
如果通信是对等通信，那么他们一定在某个时候使用了安全协议来交换密钥，那么在这个场景中JWT的用途是什么呢？
我之所以这样问，是因为在ASP.Net中实现基于JWT的安全性的大多数示例都使用对称密钥。
浏览 1提问于2017-09-24得票数 5
回答已采纳
1回答
授权类型“urn:ietf:params:oauth: grant -type:jWT-承载()和"urn:ietf:params:oauth:grant-type:token-exchange”()“之间的主要区别是什么。
浏览 3提问于2020-05-01得票数 1
回答已采纳
我从go和jwt开始。
出于测试目的，我有一个硬编码的秘密。和一条获取密钥的路径
const secretKey = "YOLOSWAG"
var mySigningKey = []byte(secretKey)
var GetTokenHandler = http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
token := jwt.New(jwt.SigningMethodHS256)
token.Claims = jwt.MapClaims{
"admi
浏览 2提问于2016-08-13得票数 4
我正在构建一个网站，我使用asp.net web 2与身份框架和Oauth进行授权。我想知道默认web令牌和json web令牌(JWT)之间的区别，在哪种情况下我们使用每一种？
浏览 1提问于2017-02-28得票数 0
LlI发现了这个JWT，它为JWT令牌和刷新令牌提供了一个很好的介绍：
现在我正在尝试将这个设计与一个React应用程序集成起来。我可以将JWT存储在我的应用程序上下文中，然后将其传递给API端点。每个端点将包括一个身份验证钩子，以使用所提供的令牌验证身份验证。
我认为，如果原始身份验证令牌在到期后10秒内，则身份验证挂钩可以生成并返回刷新令牌。
但是，使用这种^方法，我似乎需要将auth令牌或刷新令牌作为API端点响应对象的一部分返回，这样我的反应性应用程序就能够轻松地获得该刷新令牌的句柄，并将其传递给下一个API端点调用。
因此，我只是假设我的React应用程序和Expr
浏览 1提问于2020-03-31得票数 1
我正在尝试检查JWTStrategy中列入黑名单的JWT令牌。jwtFromRequest不接受异步函数，所以我不能在那里检查它。 validate函数提供对JWT负载的访问，而不是对令牌的访问。 下面是我的示例代码。 @Injectable()
export class JwtStrategy extends PassportStrategy(Strategy) {
constructor(
private readonly configService: ConfigService<AppJWTSettings>,
@Inject(CACHE_MANAGER
浏览 37提问于2020-09-24得票数 1
1回答
我被授权访问okta令牌端点。我想使用此服务请求令牌。我得到了一个url，客户端id，客户端密码，作用域和授权类型。我可以使用postman对url (/v1/ token )进行POST调用，并传递上述信息(客户端id、客户端秘密、作用域和授权类型)，然后我将得到一个访问令牌。
我可以很容易地用RestTemplate或类似的语言在java中进行此调用，但我希望使用一个可以为我管理令牌的API。
我找到JJWT了。我看到的所有示例都向我展示了如何使用JJWT创建JWT。我想做的是获得我的访问令牌，但我不确定如何做到这一点。我的意思是，我知道JJWT是用于创建JWT的API，但是我如何使用JW
浏览 1提问于2020-06-09得票数 0
我已经检查了端点，但是该项目基于一个微服务体系结构，即，每当有人登录到服务器上时，JWT令牌或授权都会发生严重变化。
因此，我从用户控件R(身份验证API)中提取的令牌，当我通过进一步的请求传递该令牌时，它将显示错误401或授权失败。
那么，我应该如何配置一些请求采样器，每次测试运行时，它都会获取当前的JWT令牌并成功地运行测试？
浏览 0提问于2019-11-28得票数 1
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM活动推荐
腾讯云开发者
