Trong qu&aacute; tr&igrave;nh x&acirc;y dựng v&agrave; ph&aacute;t triển website, ứng dụng hay c&aacute;c dịch vụ c&ocirc;ng nghệ kh&aacute;c, việc tăng độ bảo mật l&agrave; ưu ti&ecirc;n h&agrave;ng đầu của c&aacute;c Developer. Hiện nay c&oacute; nhiều c&ocirc;ng cụ để tăng t&iacute;nh bảo mật cho website. Trong đ&oacute;, JWT nổi l&ecirc;n như một c&ocirc;ng cụ bảo mật tốt v&agrave; ho&agrave;n to&agrave;n miễn ph&iacute; d&agrave;nh cho c&aacute;c Developer. Vậy JWT l&agrave; g&igrave;, cấu tạo của n&oacute; như thế n&agrave;o? H&atilde;y c&ugrave;ng <a title="Tek4.vn" href="https://tek4.vn/">Tek4.vn</a> t&igrave;m hiểu chi tiết qua b&agrave;i viết dưới đ&acirc;y.&nbsp;
<h2 style="text-align: justify;">JWT l&agrave; g&igrave;?</h2>
<a href="https://tek4.vn/jwt-la-gi">JWT</a> l&agrave; một ti&ecirc;u chuẩn mở RFC 7519, gi&uacute;p truyền đạt th&ocirc;ng tin giữa server v&agrave; client th&ocirc;ng qua một chuỗi JSON, được sử dụng như một phương tiện&nbsp; đại diện nhỏ gọn. C&aacute;c th&ocirc;ng tin được truyền đi th&ocirc;ng qua JWT sẽ được cung cấp một chữ k&yacute; điện tử gi&uacute;p tăng độ bảo mật v&agrave; sự tin tưởng tối đa. C&aacute;c chữ k&yacute; điện tử sử dụng c&aacute;c kho&aacute; c&ocirc;ng khai hoặc ri&ecirc;ng tư với c&ocirc;ng cụ RSA, ECDSA c&ugrave;ng thuật to&aacute;n HMAC.&nbsp;
C&aacute;c Developer của JWT tập trung chủ yếu v&agrave;o việc ph&aacute;t triển c&aacute;c signed token c&oacute; thể x&aacute;c minh t&iacute;nh to&agrave;n vẹn của quyền sở hữu của n&oacute;. Đồng thời những signed token n&agrave;y cũng bảo mật token khỏi sự ảnh hưởng của c&aacute;c t&aacute;c nh&acirc;n b&ecirc;n ngo&agrave;i. Khi c&aacute;c signed token sử dụng c&aacute;c cặp kho&aacute; c&ocirc;ng khai hoặc ri&ecirc;ng tư cũng đồng nghĩa với việc b&ecirc;n đ&atilde; đăng k&yacute; signed token sẽ nắm giữ cả hai kh&oacute;a.&nbsp;
<img style="width: 700px; display: block; margin-left: auto; margin-right: auto;" title="M&atilde; th&ocirc;ng b&aacute;o web JSON l&agrave; một ti&ecirc;u chuẩn Internet được đề xuất để tạo dữ liệu với chữ k&yacute; t&ugrave;y chọn" src="https://tek4.vn/public_files/9eb9720f-a54e-45ee-b30d-a043dcd416ac" alt="Jwt l&agrave; g&igrave;" />
<h2 style="text-align: justify;">Những th&agrave;nh phần ch&iacute;nh của JWT</h2>
Một JWT ti&ecirc;u chuẩn sẽ bao gồm ba th&agrave;nh phần cơ bản v&agrave; được ph&acirc;n t&aacute;ch với nhau bằng dấu chấm dưới dạng xxxxx.yyyyy.zzzz:
<ul style="text-align: justify;">
<li style="font-weight: 400;" aria-level="1">Header bao gồm hai phần ch&iacute;nh l&agrave;:&nbsp;</li>
</ul>
<ul style="text-align: justify;">
<li style="font-weight: 400;" aria-level="1">Thuật to&aacute;n m&atilde; ho&aacute; được sử dụng như HS256, HS384, HS512, PS256, PS384, PS512, RS256, RS384, RS512, ES256, ES256K, ES384, ES512 v&agrave; EdDSA.&nbsp;</li>
<li style="font-weight: 400;" aria-level="1">JWT.&nbsp;</li>
</ul>
C&aacute;c Developer&nbsp; c&oacute; thể thấy r&otilde; thuật to&aacute;n m&atilde; ho&aacute; HS256 ở v&iacute; dụ sau:&nbsp;
<code>{</code>
<code>&ldquo;alg&rdquo;: &ldquo;HS256&rdquo;,</code>
<code>&ldquo;typ&rdquo;: &ldquo;JWT&rdquo;</code>
<code>}</code>
<ul style="text-align: justify;">
<li style="font-weight: 400;" aria-level="1">Payload l&agrave; th&agrave;nh phần chứa đựng c&aacute;c th&ocirc;ng tin li&ecirc;n quan tới quyền sở hữu thực thể v&agrave; c&aacute;c dữ liệu bổ sung trong JWT. Th&agrave;nh phần n&agrave;y c&oacute; ba loại bảo mật x&aacute;c thực l&agrave; registered, public v&agrave; private claims.&nbsp;</li>
</ul>
V&iacute; dụ:&nbsp;
<code>{</code>
<code>&ldquo;sub&rdquo;: &ldquo;1234567890&rdquo;,</code>
<code>&ldquo;name&rdquo;: &ldquo;John Doe&rdquo;,&nbsp;</code>
<code>&ldquo;admin&rdquo;: true</code>
<code>}</code>
<ul style="text-align: justify;">
<li style="font-weight: 400;" aria-level="1">Signature l&agrave; một trong ba th&agrave;nh phần quan trọng nhất của JWT v&agrave; được tạo ra bằng c&aacute;ch m&atilde; h&oacute;a header, payload, secret. Đồng thời n&oacute; cũng sử dụng c&aacute;c thuật to&aacute;n để m&atilde; h&oacute;a header c&ugrave;ng signature đ&oacute;. Một signature được sử dụng nhằm x&aacute;c minh tin nhắn được gửi tới kh&ocirc;ng bị thay đổi. Trong trường hợp người d&ugrave;ng sử dụng private key cho token signed, signature c&oacute; thể x&aacute;c nhận người tại JWT l&agrave; người gửi. Khi phối hợp v&agrave; tổng kết lại, ta c&oacute;:&nbsp;</li>
</ul>
<ul style="text-align: justify;">
<li style="font-weight: 400;" aria-level="1">Kết quả đầu ra l&agrave; dạng chuỗi dựa tr&ecirc;n ti&ecirc;u chuẩn Base64-URL dễ d&agrave;ng truyền qua HTML hoặc m&ocirc;i trường HTTP so với ti&ecirc;u chuẩn XML tr&ecirc;n SAML. Sau khi được m&atilde; ho&aacute;, giao diện sẽ hiển thị một chuỗi JWT v&agrave; phần giải m&atilde;.&nbsp;</li>
</ul>
V&iacute; dụ:&nbsp;
<code>HMACSHA256)</code>
<code>base64UrlEncode(header) +&rdquo;, &ldquo; +&nbsp;</code>
<code>base64UrlEncode(payload),&nbsp;</code>
<code>secret)</code>
<h2 style="text-align: justify;">Khi n&agrave;o n&ecirc;n sử dụng JSON Web Tokens</h2>
JWT c&oacute; thể được sử dụng trong nhiều hoạt động kh&aacute;c nhau, đặc biệt l&agrave; hai trường hợp dưới đ&acirc;y:&nbsp;
<ul style="text-align: justify;">
<li style="font-weight: 400;" aria-level="1">Authentication l&agrave; trường hợp phổ biến nhất v&agrave; c&aacute;c request tiếp theo từ ph&iacute;a người d&ugrave;ng sẽ chứa th&ecirc;m m&atilde; JWT khi đăng nhập v&agrave;o hệ thống. Điều n&agrave;y sẽ cho ph&eacute;p người d&ugrave;ng cấp quyền truy cập v&agrave;o c&aacute;c URL, Service v&agrave; Resource đ&atilde; được token code cho ph&eacute;p. Phương ph&aacute;p n&agrave;y kh&ocirc;ng sử dụng Cookie n&ecirc;n n&oacute; kh&ocirc;ng bị ảnh hưởng bởi Cross-Origin Resource Sharing (CORS).&nbsp;</li>
<li style="font-weight: 400;" aria-level="1">Trao đổi th&ocirc;ng tin an to&agrave;n giữa c&aacute;c th&agrave;nh vi&ecirc;n nhờ v&agrave;o phần signature. Người nhận c&oacute; thể x&aacute;c định được ai l&agrave; người gửi th&ocirc;ng qua phần chữ k&yacute;, được tạo ra khi kết hợp header, payload. Do đ&oacute;, bạn ho&agrave;n to&agrave;n c&oacute; thể x&aacute;c thực liệu chữ k&yacute; c&oacute; bị giả mạo hay kh&ocirc;ng.&nbsp;</li>
</ul>
<h2 style="text-align: justify;">Lợi &iacute;ch khi d&ugrave;ng JWT</h2>
JWT mang đến nhiều lợi &iacute;ch cho người d&ugrave;ng c&ocirc;ng nghệ hiện nay như:&nbsp;
<ul style="text-align: justify;">
<li style="font-weight: 400;" aria-level="1">Nhỏ gọn hơn nhiều so với XML n&ecirc;n token khi m&atilde; ho&aacute; của n&oacute; cũng ngắn hơn so với SAML. V&igrave; thế, JWT l&agrave; một lựa chọn ph&ugrave; hợp trong c&aacute;c m&ocirc;i trường như HTML v&agrave; HTTP.&nbsp;</li>
<li style="font-weight: 400;" aria-level="1">T&iacute;nh an to&agrave;n v&agrave; bảo mật cao hơn nhờ sử dụng cặp kho&aacute; c&ocirc;ng khai hoặc ri&ecirc;ng tư dưới dạng chứng chỉ X.509 để k&yacute;. JWT c&oacute; thể được k&yacute; đối xứng bằng một m&atilde; b&iacute; mật c&oacute; sử dụng thuật to&aacute;n HMAC được chia sẻ. SAML c&oacute; thể sử dụng c&aacute;c cặp kho&aacute; c&ocirc;ng khai hoặc ri&ecirc;ng tư tương tự như JWT. Tuy nhi&ecirc;n, chữ k&yacute; số bằng XML lại c&oacute; nhiều lỗ hổng bảo mật v&agrave; phương ph&aacute;p thực hiện cũng kh&oacute; khăn hơn nhiều so với JWT.&nbsp;</li>
<li style="font-weight: 400;" aria-level="1">Độ phổ biến của JWT cao hơn với bộ c&uacute; ph&aacute;p xuất hiện trong hầu hết c&aacute;c ng&ocirc;n ngữ lập tr&igrave;nh. JWT&nbsp; &aacute;nh xạ trực tiếp l&ecirc;n c&aacute;c đối tượng trong khi đ&oacute; XML kh&ocirc;ng c&oacute; &aacute;nh xạ một c&aacute;ch tự nhi&ecirc;n. Điều đ&oacute; khiến cho c&aacute;c Developer c&oacute; thể l&agrave;m việc với JWT một c&aacute;ch dễ d&agrave;ng hơn so với x&aacute;c nhận SAML.&nbsp;</li>
<li style="font-weight: 400;" aria-level="1">Khả năng xử l&yacute; dễ d&agrave;ng nhờ quy m&ocirc; sử dụng ở Internet gi&uacute;p dễ d&agrave;ng thao t&aacute;c tr&ecirc;n hầu hết c&aacute;c thiết bị người d&ugrave;ng, đặc biệt l&agrave; thiết bị di động.&nbsp;</li>
</ul>
<img style="display: block; margin-left: auto; margin-right: auto;" title="Bảo mật v&agrave; khả năng truyền đạt th&ocirc;ng tin l&agrave; những ưu thế đặc biệt của JWT" src="https://images.viblo.asia/0cb529a7-8db9-424e-a994-e3ef28b16380.png" alt="JWT lợi &iacute;ch " width="700" />
<h2 style="text-align: justify;">C&aacute;ch JWT hoạt động</h2>
Để hiểu r&otilde; hơn về qu&aacute; tr&igrave;nh v&agrave; c&aacute;ch thức hoạt động của JWT, ch&uacute;ng ta sẽ lấy v&iacute; dụ cụ thể về Authentication, x&aacute;c thực c&oacute; sử dụng JWT. Khi người d&ugrave;ng đăng nhập th&ocirc;ng tin t&agrave;i khoản v&agrave;o tr&igrave;nh duyệt, n&oacute; sẽ tự động POST t&agrave;i khoản v&agrave; mật khẩu về m&aacute;y chủ. Khi đ&oacute;, c&aacute;c m&aacute;y chủ sẽ x&aacute;c thực v&agrave; gửi lại một chuỗi JWT về cho tr&igrave;nh duyệt. Thay v&igrave; tạo session tr&ecirc;n server v&agrave; trả về Cookies, c&aacute;c Token JWT sẽ được lưu trữ trong Cookies hoặc LocalStorage.&nbsp;
B&ecirc;n cạnh đ&oacute;, nếu muốn để c&aacute;c tổ chức của m&igrave;nh c&oacute; thể truy cập v&agrave;o Token, bạn chỉ cần tạo quyền li&ecirc;n kết với một API cụ thể n&agrave;o đ&oacute;. Tiếp đ&oacute;, bạn chuyển đổi m&atilde; nhận dạng API của API n&agrave;y l&agrave;m th&ocirc;ng số cho c&aacute;c đối tượng khi cần tạo y&ecirc;u cầu đến Token. Nhờ đ&oacute;, người d&ugrave;ng sẽ được cung cấp c&aacute;c quyền tương ứng với c&aacute;c API cụ thể.&nbsp;
Muốn t&igrave;m hiểu th&ecirc;m về JWT, bạn c&oacute; thể t&igrave;m tới JSON Web Tokens Auth0 Documation để lấy c&aacute;c th&ocirc;ng tin cần thiết. B&ecirc;n cạnh c&aacute;c kiến thức cơ bản về JWT, bạn sẽ được cung cấp th&ecirc;m c&aacute;ch để x&aacute;c thực, uỷ quyền, bảo mật v&agrave; x&acirc;y dựng một bộ ứng dụng. C&aacute;c th&ocirc;ng tin n&agrave;y đều k&egrave;m theo bộ t&agrave;i liệu chi tiết, đầy đủ của Auth0 để bạn thao t&aacute;c dễ d&agrave;ng hơn.&nbsp;
<img style="display: block; margin-left: auto; margin-right: auto;" title="Thay v&igrave; tạo session tr&ecirc;n server v&agrave; trả về Cookies, c&aacute;c Token JWT sẽ được lưu trữ trong Cookies hoặc LocalStorage.&nbsp;" src="https://images.viblo.asia/6feb7474-21f4-479d-8d3a-70d052e31c03.png" alt="T&igrave;m hiểu về c&aacute;ch hoạt động của Json Web Token " width="700" />
Kết&nbsp;
Như vậy, b&agrave;i viết đ&atilde; gi&uacute;p bạn đọc c&oacute; được một khung kiến thức chung nhất về JWT l&agrave; g&igrave;, cấu tr&uacute;c v&agrave; lợi &iacute;ch khi sử dụng trong c&ocirc;ng việc. Nếu bạn đang t&igrave;m kiếm thư viện x&aacute;c thực JWT, c&oacute; thể truy cập tới Libraries for Token Signing/Verification để lựa chọn thư viện ph&ugrave; hợp. Tek4.vn hy vọng với những chia sẻ từ b&agrave;i viết sẽ gi&uacute;p c&aacute;c Developer c&oacute; được c&ocirc;ng cụ gia tăng bảo mật website, ứng dụng hiệu quả hơn.&nbsp;

Admin

JWT là gì? Những thành phần chính của Json Web Token

Cùng tác giả

Admin

Có liên quan