Perché abbiamo bisogno di JWT quando abbiamo sessioni client?

Question

Capisco che JWT sono token stateless che memorizzano le informazioni firmate sulla richiesta del cliente e vengono passati a un server tramite l'intestazione HTTP di autorizzazione.

La mia domanda è, perché abbiamo bisogno di JWT quando abbiamo già sessioni client (https://github.com/mozilla/node-client-sessions)? Le sessioni client sono concettualmente le stesse. Si tratta di cookie che contenevano informazioni firmate che, una volta verificato, significa che il cookie non è stato mitigato. Inoltre, le sessioni client sono memorizzate in un cookie e passate tramite l'intestazione HTTP Cookie. È la stessa cosa usando solo parole diverse. Ho sbagliato?

Quindi, perché JWT è ancora in circolazione? Potrei capire che forse il punto è standardizzare il modo in cui funzionano i token di autenticazione, ma siamo andati d'accordo senza uno standard basato su ID di sessione (ogni implementazione ha fatto le cose a modo suo). Inoltre, perché il JWT non utilizza i cookie come mezzo di trasferimento. Con i cookie, non è necessario inviare esplicitamente l'intestazione corretta per ogni richiesta (semplificando le richieste Ajax).

Mi manca qualcosa?

Answer 1

I token JWT sono documenti JSON con firma firmati che fanno valere diritti su un utente (o qualsiasi entità). Se ti fidi dell'emittente del token, ti fidi delle attestazioni nel token e puoi prendere decisioni di autorizzazione basate su questo.

I token JWT vengono spesso utilizzati per chiamare le API Web esterne. Queste API non vivono necessariamente nello stesso dominio del tuo sito web e pertanto non possono utilizzare gli stessi cookie del tuo sito. I token JWT vengono utilizzati nei servizi REST in quanto non necessitano di informazioni sulla sessione memorizzate sul server. L'utilizzo di token JWT non è inoltre vulnerabile agli attacchi CSRF.