proto.lib

Cấu trúc và xác minh JWT

Giải thích ba phần header, payload, signature của JWT và cách bên nhận xác minh chữ ký cùng các claim.

SecurityCơ bản2026-07-02
Cấu trúc và xác minh JWT

Tags

#jwt#token#signature#claims

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityTrung bình

OIDC ID Token: Claims và xác minh

ID token là JWT chứng minh danh tính người dùng; RP phải xác minh chữ ký, iss/aud/exp và nonce trước khi tin. Khác với access token vốn dùng để gọi API.

#oidc#id-token#jwt#claims
SecurityNâng cao

Thu hồi Token: khi Access Token đã phát hành không thể gọi lại

Access token tự chứa (self-contained, JWT ký sẵn) vẫn hợp lệ tới khi hết hạn dù server có muốn thu hồi ngay; muốn "đăng xuất mọi nơi" phải chọn giữa access token sống ngắn kèm refresh token có thể revoke, hoặc một danh sách/version kiểm tra ở mọi resource server.

#token-revocation#oauth#jwt#session-management
SecurityTrung bình

PASETO - Platform-Agnostic Security Tokens

PASETO thay thế JWT bằng token có versioning và thuật toán cố định theo từng phiên bản, loại bỏ nguy cơ alg confusion và tấn công none-algorithm.

#paseto#token#versioned#algorithm-lock