新しいREST APIにJWT（JSON Webトークン）認証を使用できますか？

Question

私の認証では、他のサーバのAPIが呼び出されていますが、私はデータベーステーブルを持っていません（私のサーバにはユーザ名とパスワードはありません）。おかげさまで

Answer 1

独自の認証サーバーを実装しようとすると、ユーザー名とパスワードを持つデータベースが必要です。

しかし、ユーザーにはJWTトークンがあると、有効期限が過ぎておらず、認証サーバーとAPIサーバーの間で署名シークレットが共有されている限り、APIサーバーで認証されます。攻撃者が変更した可能性があるかどうかを確認します。

有効期限が過ぎると、クライアントは新しいトークンを発行する必要があります。通常は、より長い有効期限を持つ第2のrefreshTokenを使用し、DBに対して新しいaccessTokenを発行するかどうかチェックされます。

これは自分で実装することもできますが、OAuthはGoogle、Twitter、Githubなどのすべての主要ブランドで使用されているため、OAuth2などのテクノロジーを使用することを強くお勧めします。