JWT (JSON Web Token)

JSON Web Token (JWT) ist ein offener Standard (RFC 7519), der eine kompakte und selbstständige Methode zur sicheren Übertragung von Informationen zwischen zwei Parteien als JSON-Objekt definiert. Diese Informationen können vertraulich behandelt und signiert werden, wobei sowohl symmetrische (z. B. mit einem geheimen Schlüssel) als auch asymmetrische Signiermethoden (z. B. mit einem öffentlichen/privaten Schlüsselpaar) verwendet werden können.

JWTs sind in drei Teile gegliedert, die durch Punkte getrennt sind: Header, Payload und Signature. Der Header typischerweise besteht aus zwei Teilen: der Token-Typ-Deklaration (hier JWT) und dem verwendeten Algorithmus für die Signierung (zum Beispiel HMAC SHA256, RSA, etc.). Der Payload enthält die sogenannten "Claims", die die eigentlichen zu übertragenden Informationen enthalten. Es gibt drei Arten von Claims: Registered (registrierte), Public (öffentliche) und Private (private). Registered Claims sind dabei ein vordefinierter Satz von Claims, die nicht verpflichtend, aber empfohlen sind (z. B. Issuer, Subject, Expiration Time). Public Claims können nach Belieben definiert werden, sollten jedoch zur Kollisionvermeidung mit einem Namen registriert werden, der eindeutig ist. Private Claims sind benutzerdefinierte Ansprüche, die für die Kommunikation zwischen zwei Parteien erstellt werden und keine Vorregistrierung erfordern.

Die Signature wird erstellt, indem der Header und der Payload codiert, mit einem Punkt verbunden und mit einem geheimen Schlüssel signiert werden. Bei Verwendung von asymmetrischer Kryptographie kann die Signatur mit dem öffentlichen Schlüssel verifiziert werden, was bestätigt, dass der Token echt und nicht manipuliert wurde.

Die URL-Sicherheit des JWT gewährleistet, dass dieser einfach in einer URL oder in einem HTTP-Header gesendet werden kann, ohne sich um URL-Encoding kümmern zu müssen.

JWTs werden häufig für die Authentifizierung in Webanwendungen verwendet, wo nach erfolgreichem Login ein JWT generiert und an den Client zurückgesendet wird. Der Client sendet den Token dann bei jeder Anfrage mit, normalerweise im Authorization Header. Der Server prüft bei jedem Request den Token auf Gültigkeit und genehmigt oder verweigert entsprechend den Zugriff auf geschützte Ressourcen.

Zusammengefasst bietet JWT eine sichere, effiziente und skalierbare Methode, um Identifikations- und Zugangsmanagement zu betreiben sowie Informationen zwischen Diensten in einer Microservices-Architektur, zwischen Servern und Clients oder innerhalb einer verteilten Infrastruktur auszutauschen.