JWT jti唯一性

我在理解我應該如何在智威湯遜中使用jti索賠時遇到了一些麻煩。就我可以在其他SO問題和在線文檔中看到的，這個想法是它們應該是唯一的，但是在什麼範圍內是唯一的？每個網站/應用程序的jti？每個令牌/用戶是什麼？如果我有一個特定於用戶的jti，那麼這種撤銷JWT的狀態是否是無狀態的，因爲我需要以某種方式跟蹤令牌？JWT jti唯一性

我很想了解如何使用jti，或者如果我可能根本不需要它。

來源

2017-03-25 RhoVisions

jti在範圍內的應用應該是唯一的，以防止兩個相等的JWT。

見RFC 7519

4.1.7。「jti」（JWT ID）聲明

「jti」（JWT ID）聲明爲智威湯遜提供了唯一標識符。必須以確保意外地分配給不同數據對象的相同值的可能性可以忽略的方式來分配標識符值;如果應用程序使用多個發行人，則必須阻止不同發行人產生的值之間的衝突。可以使用「jti」聲明來阻止重播JWT。「jti」值是一個個案 - 敏感字符串。使用此聲明是可選的。

如果你需要一個黑名單撤銷令牌，並保證同相同JWT不發兩次，可以使用它（當有未經時間戳索賠內容相同）

來源

2017-03-26 08:55:34 pedrofb

我覺得「同智威湯遜是不是發出兩次「是什麼一直扔我。在同一個應用程序中，同一個用戶會得到相同的標記，禁止更改時間戳記（我也不確定多少次重新發佈一個標記;每個頁面上的負載似乎過多），但這是一個完全不同的問題。 – RhoVisions

回答

相關問題