Panduan

JWT dalam OAuth 2.0 & OpenID Connect

Bagaimana JWT digunakan dalam OAuth 2.0 dan OpenID Connect.

Access token: mewakili izin untuk mengakses sumber daya (API). Sering berupa JWT, tetapi formatnya tidak diwajibkan.
ID token (OIDC): JWT yang membawa hasil autentikasi; harus berupa JWT dan mencakup sub, aud, iss, exp, serta klaim profil.
Refresh token: dipakai untuk memperbarui access token; biasanya string buram (opaque), jadi bukan untuk didekode.
Saat memverifikasi, selalu periksa iss, aud, exp, dan tanda tangan; OIDC memverifikasi tanda tangan dengan JWKS (kunci publik) penerbit.

Coba dekode token sendiriCukup tempel dan header, payload, serta klaim langsung terbuka.

Buka dekoder

Terkait

JWT (JSON Web Token) adalah format token JSON kecil yang ditandatangani untuk menyampaikan informasi secara aman antarpihak.

Struktur tiga bagian JWT

Setiap JWT terdiri dari header.payload.signature, dan setiap bagian disandikan base64url.

Daftar periksa keamanan JWT

Daftar singkat prinsip utama untuk menggunakan JWT dengan aman.

JWT vs autentikasi sesi

Perbedaan antara autentikasi berbasis token (JWT) dan berbasis sesi server (cookie), serta kapan memakai masing-masing.

Kesalahan JWT umum dan solusinya

Kesalahan yang paling sering Anda temui saat bekerja dengan JWT, beserta penyebab dan solusinya.

Access token dan refresh token

Peran access token berumur pendek dan refresh token yang memperbaruinya.

JWS vs JWE (ditandatangani vs dienkripsi)

JWT biasanya berupa JWS yang ditandatangani; untuk menyembunyikan isi digunakan JWE yang dienkripsi. Inilah perbedaannya.

Di mana menyimpan JWT: localStorage vs cookie

Tempat Anda menyimpan JWT di peramban mengubah risiko XSS dan CSRF Anda.

Klaim khusus (publik vs privat)

Selain klaim terdaftar (iss, exp, ...), jenis klaim yang Anda definisikan sendiri dan cara menghindari tabrakan.