[B! jwt] miya-janのブックマーク

JWT認証、便利やん？ - ブログ

どうして JWT をセッションに使っちゃうわけ？ - co3k.org　に対して思うことを書く。 (ステートレスな) JWT をセッションに使うことは、セッションIDを用いる伝統的なセッション機構に比べて、あらゆるセキュリティ上のリスクを負うことになります。と大口叩いておいて、それに続く理由がほとんどお粗末な運用によるものなのはどうなのか。最後に、でもそこまでしてステートレスに JWT を使わなくてはいけないか？とまで行っていますが、JWT認証のメリットはその実装のシンプルさとステートレスなことにあります。現実的には実際はDB参照とか必要になったりするんですが、ほとんど改ざん検証だけで済むのは魅力的です。トレードオフでリアルタイムでユーザー無効化ができないことくらいですかね。ライブラリなんて使う必要ないほどシンプルだし、トレードオフさえ許容できればむしろ、なぜこれ以上に複雑な認証

miya-jan 2018/09/21

リンク

どうして JWT をセッションに使っちゃうわけ？ - co3k.org

備考 2018/09/21 22:15 追記 2018/09/20 12:10 に公開した「どうして JWT をセッションに使っちゃうわけ？」というタイトルが不適切だとご指摘をいただいています。その意見はもっともだと思いますので、現在、適切となるようにタイトルを調整しています。ご迷惑およびお騒がせをして大変申し訳ございません。本文の表現についても改善の余地は大いにありそうですが、こちらは (すでにご意見を頂戴している関係で、) 主張が変わってしまわないように配慮しつつ慎重に調整させていただくかもしれません。はあああ〜〜〜〜頼むからこちらも忙しいのでこんなエントリを書かせないでほしい (挨拶)。もしくは僕を暇にしてこういうエントリを書かせるためのプログラマーを募集しています (挨拶)。 JWT (JSON Web Token; RFC 7519) を充分なリスクの見積もりをせずセッシ

miya-jan 2018/09/20

リンク

JSON Web Token (JWT)

miya-jan 2013/06/07

Log in with Atlassian account

We tried to load scripts but something went wrong. Please make sure that your network settings allow you to download scripts from the following domain: https://aid-frontend.prod.atl-paas.net

miya-jan 2013/05/30

javaでJWTを扱うライブラリ

リンク

JSON Web Token (JWT)

Network Working Group M. Jones Internet-Draft Microsoft Intended status: Standards Track D. Balfanz Expires: November 13, 2012 Google J. Bradley Ping Identity Y. Goland Microsoft J. Panzer Google N. Sakimura NRI P. Tarjan Facebook May 12, 2012 JSON Web Token (JWT) draft-jones-json-web-token-10 Abstract JSON Web Token (JWT) is a means of representing claims to be transf erred between two parties. Th

miya-jan 2013/05/27

jwt
json

リンク

JSON Web Signatureの紹介 - r-weblife

こんばんは、ritouです。TLで13日の金曜だからJSONの・・・みたいなのを見つけたのでちょっと書きます。って思ったらもう土曜日でしたorz JSON Web Signatureとは？ draft-jones-json-web-signature-02 - JSON Web Signature (JWS) JWSは、HTTP Authorization HeaderやURIクエリパラメータなど制限がある環境でも使えるようなコンパクトな署名形式です。ってあります。ざっくり説明すると、次の3つから構成されます。 JWS Header Input : 署名のためのアルゴリズムなどを含むJSONデータをBase64 URLエンコードしたもの JWS Payload Input : もともと署名つけたかったJSONデータをBase64 URLエンコードしたもの JWS Crypto Out