โครงสร้างโทเค็น JWT อธิบาย: Header, Payload และ Signature

โครงสร้างโทเค็น JWT อธิบาย

ทุก JSON Web Token (JWT) เป็นสตริงที่กะทัดรัดและปลอดภัยสำหรับ URL ที่นำพา claims ระหว่างสองฝ่าย การเข้าใจโครงสร้างภายในเป็นสิ่งจำเป็นสำหรับนักพัฒนาทุกคนที่ทำงานกับความปลอดภัยแบบใช้โทเค็น

สามส่วนของ JWT

JWT ประกอบด้วยสามส่วนคั่นด้วยจุด (.):

header.payload.signature

ตัวอย่าง:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

แต่ละส่วนเป็น JSON ที่เข้ารหัสแบบ base64url JWT ถูกลงนาม ไม่ได้เข้ารหัส — ใครก็ตามสามารถถอดรหัสและอ่านเนื้อหาได้

ส่วนที่ 1: Header

header มีข้อมูลเมตาเกี่ยวกับโทเค็น — อัลกอริทึมการลงนามและประเภทโทเค็น

| ฟิลด์ | คำอธิบาย | ค่าตัวอย่าง | |-------|-------------|----------------| | alg | อัลกอริทึมการลงนาม (จำเป็น) | HS256, RS256, ES256 | | typ | ประเภทโทเค็น (ไม่จำเป็น) | JWT | | kid | Key ID (ไม่จำเป็น) | "key-1" |

{
  "alg": "HS256",
  "typ": "JWT"
}

ฟิลด์ alg บอกผู้ตรวจสอบว่าอัลกอริทึมใดที่ใช้สร้างลายเซ็น อัลกอริทึมที่ไม่ตรงกัน — หรือการยอมรับ alg: "none" — เป็นช่องโหว่ด้านความปลอดภัยของ JWT ที่พบบ่อย

ส่วนที่ 2: Payload

payload มี claims เกี่ยวกับผู้ใช้และข้อมูลเมตา Claims แบ่งออกเป็นสามประเภท:

Registered Claims

| Claim | ชื่อเต็ม | วัตถุประสงค์ | |-------|-----------|---------| | iss | Issuer | ใครเป็นผู้ออกโทเค็น | | sub | Subject | ระบุตัวผู้ใช้ | | aud | Audience | ผู้รับที่ตั้งใจ | | exp | Expiration | เวลาหมดอายุของโทเค็น | | nbf | Not Before | โทเค็นไม่สามารถใช้ได้ก่อนเวลานี้ | | iat | Issued At | เวลาที่สร้างโทเค็น | | jti | JWT ID | ตัวระบุโทเค็นที่ไม่ซ้ำกัน |

ตัวอย่าง Payload ที่ถอดรหัสแล้ว

{
  "sub": "1234567890",
  "name": "John Doe",
  "iat": 1516239022,
  "exp": 1516242622,
  "iss": "https://auth.example.com"
}

Public claims ถูกกำหนดในทะเบียน IANA หรือใช้ URI ที่ป้องกันการชนกัน Private claims เป็น claims ที่กำหนดเองที่ตกลงกันระหว่างผู้ออกและผู้รับ

ส่วนที่ 3: Signature

ลายเซ็นถูกสร้างขึ้นโดยการรวม header ที่เข้ารหัสแล้ว payload ที่เข้ารหัสแล้ว และ secret key โดยใช้อัลกอริทึมจาก header มีวัตถุประสงค์สองประการ:

1. ความสมบูรณ์ — ยืนยันว่าโทเค็นไม่ได้ถูกแก้ไขหลังจากลงนาม
2. การรับรองความถูกต้อง — พิสูจน์ว่าโทเค็นถูกลงนามโดยฝ่ายที่คาดหวัง

การสร้างลายเซ็น HS256

HMACSHA256(
  base64urlEncode(header) + "." + base64urlEncode(payload),
  secret
)

การสร้างลายเซ็น RS256

RSASHA256(
  base64urlEncode(header) + "." + base64urlEncode(payload),
  privateKey
)

Base64url เทียบกับ Base64 มาตรฐาน

| ด้าน | Base64 มาตรฐาน | Base64url | |--------|-----------------|-----------| | อักขระ 62 | + | - | | อักขระ 63 | / | _ | | Padding | = | ถูกละไว้ |

การเข้ารหัสนี้ทำให้ JWT ปลอดภัยสำหรับ HTTP headers, query parameters และ URL paths โดยไม่ต้องเข้ารหัสเปอร์เซ็นต์

กระบวนการสร้าง JWT ที่สมบูรณ์

1. สร้าง header JSON และเข้ารหัส base64url
2. สร้าง payload JSON และเข้ารหัส base64url
3. เชื่อมต่อด้วยตัวคั่น .
4. ลงนามด้วยอัลกอริทึมและ secret ที่เลือก
5. เข้ารหัสลายเซ็นด้วย base64url
6. เชื่อมต่อทั้งสามส่วนด้วยตัวคั่น .

ข้อควรพิจารณาด้านความปลอดภัย

• อย่าเก็บความลับใน payload payload ถูกเข้ารหัส ไม่ได้ถูกเข้ารหัสลับ
• ตรวจสอบลายเซ็นเสมอ หากไม่มีการตรวจสอบ ใครก็ตามสามารถปลอมแปลงโทเค็นได้
• ตรวจสอบ header alg ปฏิเสธ alg: "none" และความพยายามลดระดับอัลกอริทึม
• ตั้งเวลาหมดอายุสั้น ใช้ claims exp เป็นนาทีหรือชั่วโมง ไม่ใช่เดือน

ถอดรหัสโทเค็น JWT ออนไลน์

ใช้เครื่องมือถอดรหัส JWT เพื่อตรวจสอบโทเค็นใดๆ วางลงไปและดู header, payload และอัลกอริทึมการลงนามที่ถอดรหัสแล้วทันที การประมวลผลทั้งหมดเกิดขึ้นในเบราว์เซอร์ของคุณ