Tekst źródłowy strony JSON Web Token

{{inne znaczenia|sposobu wymiany danych komputerowych|[[JWT]] – pierwsza na świecie agencja reklamowa}}
'''JSON Web Token''', '''JWT''' – otwarty standard przemysłowy, definiujący sposób wymiany danych komputerowych między określonymi stronami za pośrednictwem dokumentów [[JSON]]. Został zaproponowany w maju 2015 przez stowarzyszenie [[IETF]] w dokumencie {{odn|ref=nie|RFC 7519}}. Na jego główne zastosowania wskazano proces [[Uwierzytelnianie|uwierzytelniania]] użytkownika oraz bezpiecznej wymiany informacji<ref>{{Cytuj stronę | url = https://auth0.com/learn/json-web-tokens/ | tytuł = Get Started with JSON Web Tokens | opublikowany = auth0.com | data dostępu = 2022-06-16 | język = en}}</ref>.

== Struktura tokenu<ref>{{Cytuj stronę | url = https://jwt.io/introduction | tytuł = JSON Web Token Introduction | opublikowany = jwt.io | data dostępu = 2022-06-16 | język = en}}</ref> ==
Tokeny ''JWT'' tworzone są z trzech niezależnych części składowych oddzielanych znakiem kropki:

<big><code>nagłówek.ładunek.podpis</code></big>
 
Zawartości poszczególnych części w tokenie są kodowane według standardu {{odn|ref=nie|RFC 4648}} ([[Base64|Base64Url]]), które posłużą do utworzenia właściwego tokenu.

=== Nagłówek ===
Nagłówek jest osobnym dokumentem JSON, informującym o typie przekazywanego tokenu (pole <code>typ</code>, w tym przypadku: ''JWT'') oraz o zastosowanym [[Kryptografia klucza publicznego|algorytmie szyfrowania asymetrycznego]] (pole <code>alg</code>), takimi jak [[HMAC]], [[RSA (kryptografia)|RSA]] czy [[ECDSA]].

Na przykład, dla tokenu typu ''JWT'', szyfrowanego algorytmem HMAC-[[SHA-2|SHA256]], nagłówek będzie zawierał poniższy dokument:

<syntaxhighlight lang="JSON">
{
    "alg": "HS256",
	"typ": "JWT"
}
</syntaxhighlight>

=== Ładunek ===
Główną częścią ''JWT'' jest przekazywany ładunek (tzw. ''[[Payload (informatyka)|payload]]''). W postaci dokumentu JSON dostarcza dane, które jedna ze stron chce przekazać.

Przykładowo, przekazując dane [[Sesja (informatyka)|sesji]] określonego zalogowanego użytkownika, zawierające jego [[Identyfikator użytkownika|identyfikator logowania]] oraz uprawnienia w [[Witryna internetowa|witrynie internetowej]], mogłyby wyglądać następująco:

<syntaxhighlight lang="JSON">
{
    "login": "John_Doe",
	"isAdmin": true
}
</syntaxhighlight>

=== Sygnatura ===
Sygnatura (nazywana również podpisem) jest używany do weryfikacji autentyczności utworzonego tokenu ''JWT''. Jest tworzony i szyfrowany wybranym algorytmem na podstawie zakodowanego nagłówka i ładunku tokenu z opcjonalnym kluczem szyfrowania.

== Użycie ==
Podczas procesu autoryzacji użytkownika z użyciem ''JWT'', przy poprawnym jego zalogowaniu jest zwracany wygenerowany token, który zostaje przechowany w danych lokalnych [[Przeglądarka internetowa|przeglądarki internetowej]] – na przykład w pamięci lokalnej, pamięci sesji lub pliku [[HTTP cookie|cookie]], zamiast klasycznego przechowywania identyfikatora [[Sesja (informatyka)|sesji]].

Kiedy użytkownik witryny chce uzyskać dostęp do zasobu z ograniczonym dostępem, podczas wykonywania takiego żądania dodawany jest dodatkowy nagłówek [[Lista nagłówków HTTP#Authorization|<code>Authorization</code>]]:

 '''Authorization:''' Bearer <token>

Serwer otrzymujący wartość w nagłówku nie przechowuje go w pamięci, by porównać ze sobą ciągi znaków – zamiast tego sprawdza, czy posiada prawidłową sygnaturę używaną przez serwer i na podstawie ich zgodności przyznaje dostęp używając zawartości ładunku tokenu.

== Implementacje ==
''JWT'' posiada znaczną liczbę gotowych implementacji standardu. Pojawiły się m.in. dla języków [[C (język programowania)|C]]<ref>{{Cytuj stronę | url = https://github.com/benmcollins/libjwt | tytuł = benmcollins/libjwt: JWT C Library | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref>, [[Clojure]]<ref>{{Cytuj stronę | url = https://github.com/liquidz/clj-jwt | tytuł = liquidz/clj-jwt: Clojure library for JSON Web Token(JWT) | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref>, [[Common Lisp]]<ref>{{Cytuj stronę | url = https://github.com/gschjetne/cljwt | tytuł = gschjetne/cljwt: A Common Lisp library for issuing and validating JSON Web Tokens | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref>, [[Dart (język programowania)|Dart]]<ref>{{Cytuj stronę | url = https://github.com/deftomat/JustJWT | tytuł = deftomat/JustJWT: A JWT library for Dart. | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref>, [[Elixir (język programowania)|Elixir]]<ref>{{Cytuj stronę | url = https://github.com/joken-elixir/joken | tytuł = joken-elixir/joken: Elixir JWT library | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref>, [[Go (język programowania)|Go]]<ref>{{Cytuj stronę | url = https://github.com/golang-jwt/jwt | tytuł = Repozytorium biblioteki jwt-go języka Go w serwisie GitHub | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref>, [[Haskell]]<ref>{{Cytuj stronę | url = https://hackage.haskell.org/package/jwt | tytuł = jwt: JSON Web Token (JWT) decoding and encoding | opublikowany = hackage.haskell.org | data dostępu = 2022-06-17 | język = en}}</ref>, [[Java]]<ref>{{Cytuj stronę | url = https://github.com/auth0/java-jwt | tytuł =  auth0/java-jwt: Java implementation of JSON Web Token (JWT) | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref>, [[JavaScript]]<ref>{{Cytuj stronę | url = https://github.com/kjur/jsrsasign | tytuł =  kjur/jsrsasign: The 'jsrsasign' (RSA-Sign JavaScript Library) is an opensource free cryptography library supporting RSA/RSAPSS/ECDSA/DSA signing/validation, ASN.1, PKCS#1/5/8 private/public key, X.509 certificate, CRL, OCSP, CMS SignedData, TimeStamp, CAdES and JSON Web Signature/Token in pure JavaScript. | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref>, [[Lua]]<ref>{{Cytuj stronę | url = https://github.com/SkyLothar/lua-resty-jwt | tytuł = SkyLothar/lua-resty-jwt: JWT For The Great Openresty | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref>, [[Perl]]<ref>{{Cytuj stronę | url = https://metacpan.org/pod/Crypt::JWT | tytuł = Crypt::JWT - JSON Web Token (JWT, JWS, JWE) as defined by RFC7519, RFC7515, RFC7516 | opublikowany = metacpan.org | data dostępu = 2022-06-17 | data = 2021-11-28 | język = en}}</ref>, [[PHP]]<ref>{{Cytuj stronę | url = https://github.com/lcobucci/jwt | tytuł = lcobucci/jwt: A simple library to work with JSON Web Token and JSON Web Signature | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref>, [[PowerShell]]<ref>{{Cytuj stronę | url = https://github.com/SP3269/posh-jwt | tytuł = SP3269/posh-jwt: JWT (JSON Web Tokens) implementation in Powershell | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref>, [[Python]]<ref>{{Cytuj stronę | url = https://github.com/jpadilla/pyjwt | tytuł = jpadilla/pyjwt: JSON Web Token implementation in Python | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref>, [[Ruby (język programowania)|Ruby]]<ref>{{Cytuj stronę | url = https://github.com/jwt/ruby-jwt | tytuł = jwt/ruby-jwt: A ruby implementation of the RFC 7519 OAuth JSON Web Token (JWT) standard. | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref>, [[Rust (język programowania)|Rust]]<ref>{{Cytuj stronę | url = https://github.com/Keats/jsonwebtoken | tytuł = Keats/jsonwebtoken: JWT lib in rust | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref>, [[Scala (język programowania)|Scala]]<ref>{{Cytuj stronę | url = https://github.com/jwt-scala/jwt-scala | tytuł = jwt-scala/jwt-scala: JWT support for Scala. Bonus extensions for Play, Play JSON, Json4s, Circe, uPickle, Spray and Argonaut | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref> czy [[Swift (język programowania LLVM)|Swift]]<ref>{{Cytuj stronę | url = https://github.com/kylef/JSONWebToken.swift | tytuł = kylef/JSONWebToken.swift: Swift implementation of JSON Web Token (JWT). | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref>, a także dla takich środowisk uruchomieniowych, jak [[.NET]]<ref>{{Cytuj stronę | url = https://github.com/jwt-dotnet/jwt | tytuł = jwt-dotnet/jwt: Jwt.Net, a JWT (JSON Web Token) implementation for .NET | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref> czy [[Node.js]]<ref>{{Cytuj stronę | url = https://github.com/auth0/node-jsonwebtoken | tytuł = auth0/node-jsonwebtoken: JsonWebToken implementation for node.js | opublikowany = github.com | data dostępu = 2022-06-17 | język = en}}</ref>.

== Przypisy ==
{{Przypisy}}

== Linki zewnętrzne ==
* [https://jwt.io/ jwt.io] – witryna poświęcona informacjom oraz narzędziami związanymi z ''JWT''.
* {{RFC|7519}}
* {{RFC|4648}}

[[Kategoria:Standardy internetowe]]