Webالسعر

(WEB)

JSON Web Token (JWT) هو معيار مفتوح (RFC 7519) لنقل المعلومات بشكل آمن بين الأطراف ككائن JSON. غرضه الأساسي هو تمكين المصادقة والتفويض الآمنين وغير المرتبطين بالحالة في تطبيقات الويب. يسمح بالتوقيع الرقمي للمطالبات (المعلومات)، مما يضمن عدم التلاعب بالبيانات والتحقق من صحة المُرسل. هذا يجعله طريقة مدمجة ومكتفية ذاتيًا لتمثيل المعلومات بشكل آمن لمهام مثل التحقق من هوية المستخدم.

يبدأ سير عمل JWT عندما يقوم المستخدم بتسجيل الدخول بنجاح، مما يدفع الخادم لإصدار JWT للعميل. يتم تخزين هذا الرمز المميز، الذي يحتوي عادةً على مطالبات خاصة بالمستخدم ووقت انتهاء صلاحية، بعد ذلك على جانب العميل. للطلبات اللاحقة للوصول إلى الموارد المحمية، يقوم العميل بتضمين JWT هذا في رأس الطلب. يقوم الخادم، عند تلقي مثل هذا الطلب، بالتحقق من التوقيع الرقمي للرمز المميز باستخدام مفتاح سري. يؤكد هذا التحقق من سلامة الرمز المميز وصحته. استنادًا إلى المطالبات داخل الرمز المميز، يقوم الخادم بعد ذلك بمصادقة المستخدم وتحديد تفويضه للوصول إلى المورد المطلوب دون الحاجة إلى الاستعلام عن قاعدة بيانات للحصول على معلومات الجلسة.

يتم استخدام JSON Web Tokens (JWTs) بأكثر الطرق فعالية لعدة حالات استخدام رئيسية. تستخدم بشكل أساسي للتفويض، مما يسمح للمستخدمين بالوصول الآمن إلى المسارات والموارد المسموح بها بعد تسجيل الدخول الأولي. يعمل الرمز المميز كوثيقة اعتماد تثبت هوية المستخدم وأذوناته. تطبيق آخر مهم هو تبادل المعلومات الآمن بين الأطراف، حيث يضمن التوقيع الرقمي سلامة وصحة البيانات المنقولة. بالإضافة إلى ذلك، تعد JWTs حجر الزاوية لتطبيق الدخول الموحد (SSO) عبر نطاقات أو خدمات متعددة، مما يتيح للمستخدمين تسجيل الدخول مرة واحدة والوصول إلى تطبيقات متصلة مختلفة بسلاسة.

يوفر دمج JWTs العديد من الفوائد، مما يعزز أمان التطبيق وكفاءته. تمكن من المصادقة عديمة الحالة، مما يعني أن الخادم لا يحتاج إلى تخزين بيانات الجلسة، مما يؤدي إلى تحسين قابلية التوسع وتقليل حمل الخادم. إن JWTs مقاومة للتلاعب بفضل توقيعها الرقمي، مما يضمن سلامة البيانات وصحتها. تسمح طبيعتها المدمجة والمكتفية ذاتيًا بنقلها بسهولة وتبسيط إدارة الجلسات. علاوة على ذلك، تدعم JWTs التوافق عبر الأنظمة الأساسية، مما يجعلها متعددة الاستخدامات للاستخدام عبر مختلف العملاء والخدمات. تساهم هذه الخصائص في نظام مصادقة وتفويض أكثر قوة وكفاءة وأمانًا.

بينما لا يعتبر JSON Web Token (JWT) طريقة مصادقة بمعنى التحقق المباشر من بيانات اعتماد المستخدم، إلا أنه مكون حيوي يستخدم بكثرة للمصادقة والتفويض بعد تسجيل الدخول. يعمل كوثيقة اعتماد آمنة ومكتفية ذاتيًا يقدمها العملاء للخادم لإثبات هويتهم وحالة التفويض للطلبات اللاحقة. غالبًا ما تتكامل JWTs بسلاسة مع بروتوكولات الأمان الأوسع، مثل OAuth 2.0. في مثل هذه السيناريوهات، يتعامل OAuth 2.0 مع عملية منح التفويض، بينما تُستخدم JWTs بشكل شائع لتمثيل رموز الوصول الصادرة، مما يوفر طريقة موحدة وآمنة لنقل معلومات التفويض.

تحتوي حمولة JWT على 'مطالبات' مختلفة وهي بيانات حول كيان، غالبًا المستخدم، وبيانات إضافية. المطالبات القياسية، والمعروفة أيضًا بالمطالبات المسجلة، معرفة مسبقًا للاستخدام الشائع وتعزز قابلية التشغيل البيني. تشمل الأمثلة الرئيسية `iss` (المُصدر)، التي تحدد الكيان الذي أصدر JWT؛ `sub` (الموضوع)، التي تحدد الطرف الرئيسي الذي يؤكد الرمز المميز معلومات عنه؛ `aud` (الجمهور)، التي تحدد المستلمين الذين يقصد الرمز المميز لهم؛ `exp` (وقت انتهاء الصلاحية)، التي تشير إلى الوقت الذي يجب بعده عدم قبول JWT؛ `iat` (وقت الإصدار)، التي تحدد وقت إصدار JWT؛ و `jti` (معرف JWT)، وهو معرف فريد لـ JWT.