JWTについて_基本編

JWTとは
セッションID方式との違い
など

随時更新予定

Transcript

1. JWT(JSON Web Token)について　基本編
2. はじめに 本スライドは、JWTについて個人的な学びのためにまとめたものである JWTが良いとか悪いとかは述べない。そのレベルの理解はまだできていない JWTに関する議論はネット上に色々あるので気になった人は調べてみると面 白いと思う 上記の議論などをよく読んで理解が深まれば、JWTのメリット/デメリットなどの 更新する予定
3. 前提 : 認証と認可(簡単に) 認証（Authentication） 「このリクエストは正規のユーザー"Aさん"からのリクエストだ」と言うことを認 めて証明する 身元確認 認可（Authorization） Aさんに特定リソースへのアクセスを許可する
4. JWTとは 概念 認証後の認証状態を保持・証明する手段として使われていることが多い 認証そのものではないと言う認識 同レイヤーの仕組みとしては、セッションIDがある 実体 <Header>.<Payload>.<Signature> Header : 署名アルゴリズム(共通鍵、公開鍵)を格納 Payload : ユーザーIDやトークンの情報を格納 Signature : "Header.Payload"に対して秘密鍵を使って生成されたデジタル署名 つまり、鍵で検証が可能になる
5. ログイン認証 -> セッションID 初回リクエスト
6. ログイン後リクエスト
7. ログイン認証 -> JWT 初回リクエスト
8. ログイン後リクエスト