JWT - JSON Web Token

Hvad er et JWT?

Et JWT — JSON Web Token — er et digitalt adgangsbevis, som en bruger får, når de logger ind. Ved hver efterfølgende handling viser de beviset frem i stedet for at logge ind på ny. Det smarte: beviset er digitalt signeret, så serveren kan se, at det er ægte og ikke pillet ved — uden at skulle slå op i en database hver gang.

Hvad det bruges til

JWT er en udbredt måde at holde en bruger logget ind på, særligt når en løsning taler med et API. Token'et indeholder typisk, hvem brugeren er, og hvad de må — pakket ind og signeret, så det ikke kan forfalskes.

Hvad du får ud af det

Hurtigt — serveren tjekker signaturen i stedet for at slå op i en database ved hver forespørgsel.

Skalerbart — fungerer godt på tværs af mange servere og tjenester.

Standardiseret — bruges bredt sammen med fx OAuth og OpenID Connect.

Det skal håndteres rigtigt

Et JWT er ikke hemmeligt i sig selv — indholdet kan læses. Det skal derfor aldrig indeholde følsomme data, og det skal håndteres med korte udløbstider og sikker opbevaring. Bygget rigtigt er det stærkt; bygget skødesløst er det et hul.

Ikke et login ved hver handling. Men ét signeret bevis, der ikke kan forfalskes.