JWT令牌的最佳密碼/加密建議

Question

我最近在我們的服務器上運行了一些負載測試，並注意到我們的JWT令牌序列化/反序列化似乎是一個相當嚴重的瓶頸。這可能是由於我們使用的是2048自籤密鑰。我想知道什麼密碼和加密大小可以接受安全明智，但也減少負載？

所有針對我們的API的交易都已經是SSL'd，所以我正在做一個基本的假設，即一個較弱的密鑰不會有問題。我們也經常過期令牌。

建議將不勝感激。

Answer 1

我猜你正在使用不對稱的RSA密鑰對。 RSA簽名比HMAC慢。如果您不需要客戶端驗證令牌（可能因爲您使用SSL而客戶端已在檢查服務器證書），您可以使用來提高性能，您可以用HMAC替換RSA而不影響安全。

---

請注意，JWT通常是簽名的，而不是加密的。有效負載是base64編碼的，因此任何擁有JWT的人都可以讀取其內容。

簽名確保發行人的身份並保護令牌免受更改。如果您想隱藏內容，則可以將JWE加密應用於智威湯遜，但您的性能會降低。檢查你的庫是否支持它。