JWTで使用される「秘密」の仕方

Question

JWTの利点の1つは、サーバー側でセッションを管理/保存することを避けることです。しかし、JWTでは、受信メッセージが有効であることを確認するためにサーバはsecretを知る必要があります。

私の質問は：サーバがブラウザからのJWTトークンを検証するためにどこかにsecretを保存する必要はありませんか？

Answer 1

はい、秘密を保存する必要があります。サーバのバックエンドもトークンを発行している場合は、トークンの検証に使用できるトークンに署名するためにシークレットをすでに使用しています。トークンを発行する認証サーバーがある場合は、トークンを検証するための共有秘密が必要です。