اگر به دنبال پیادهسازی امن و جلوگیری از آسیب‌پذیری‌های JWT هستید، مقاله راهنمای امنیت JWT ما را بخوانید.
در دنیای برنامه‌نویسی وب مدرن، JWT (JSON Web Token) یکی از پرکاربردترین مفاهیم برای احراز هویت (Authentication) است. اگر با APIها، اپلیکیشنهای موبایل یا میکروسرویس‌ها کار کرده باشید، حتماً نام آن را شنیده‌اید. اما JWT دقیقاً چیست و چرا این‌قدر محبوب شده است؟
JWT چیست؟
JWT یک استاندارد باز (RFC 7519) برای انتقال امن اطلاعات بین دو طرف (کلاینت و سرور) به صورت یک شیء JSON است. این اطلاعات به صورت دیجیتال امضا می‌شوند تا از جعل و دستکاری محافظت شوند.
ساختار JWT
یک توکن JWT از سه بخش تشکیل شده که با نقطه (`.`) از هم جدا می‌شوند:
- Header (سرآیند): شامل نوع توکن (JWT) و الگوریتم امضا (مثل HS256).
- Payload (داده‌ها): شامل اطلاعات کاربر (مثل User ID، نقش‌ها) و زمان انقضا (exp).
- Signature (امضا): برای تایید اصالت توکن. این بخش با کلید مخفی سرور تولید میشود.
چرا JWT محبوب است؟
- Stateless: سرور نیازی به ذخیره Session ندارد و درخواست‌ها را با خود توکن بررسی می‌کند.
- مقیاسپذیر: برای سیستم‌های توزیع‌شده و میکروسرویس‌ها عالی است.
- چند سکویی: در وب، موبایل و حتی IoT کار می‌کند.
JWT vs Session
در روش سنتی Session، سرور یک شناسه (Session ID) تولید می‌کند و اطلاعات کاربر را در حافظه خود نگه می‌دارد. اما در JWT، تمام اطلاعات در خود توکن قرار دارد و سرور فقط امضا را بررسی می‌کند. این تفاوت باعث میشود JWT برای سیستم‌های بزرگ و توزیع‌شده مناسبتر باشد.
نکات امنیتی مهم
- هرگز اطلاعات حساس در Payload ذخیره نکنید: رمز عبور، شماره کارت و... هرگز نباید در JWT باشند. چون Payload فقط Base64 است و قابل خواندن است.
- تاریخ انقضا (exp) را حتماً تنظیم کنید: توکن‌های بدون انقضا خطرناک هستند.
- امضا را در سرور بررسی کنید: هرگز به امضای سمت کلاینت اعتماد نکنید.
ابزار JWT Decoder
برای بررسی و دیباگ توکن‌های JWT در طول توسعه، می‌توانید از ابزار رمزگشای JWT ما استفاده کنید. این ابزار کاملاً محلی اجرا میشود و توکن شما را به هیچ سروری ارسال نمی‌کند.
جمع‌بندی
JWT یک ابزار قدرتمند برای احراز هویت است، اما استفاده از آن نیاز به دانش امنیتی دارد. اگر به درستی پیادهسازی شود، میتواند تجربه کاربری و مقیاس‌پذیری سیستم شما را به شدت بهبود بخشد.