JSON Web Token

Come accennato prima, un token JWT è composto da 3 sezioni

Intestazione#edit

Dall'inglese header, l'intestazione contiene un oggetto rappresentato con JSON e codificato in base64 che segue lo schema seguente:

{
  "alg": "HS256",
  "typ": "JWT"
}

La proprietà alg indica quale algoritmo è stato usato per generare la firma, la proprietà typ indica, invece, il tipo del token, in questo caso sarà sempre 'JWT'

Payload#edit

Il payload contiene i dati chiamati claims, esistono 7 claims registrati e sono i seguenti:

• iss: sta per issuer, dall'inglese emittente, ovvero specifica chi ha emesso il token, è solito specificare l'hostname.
• sub: è solito indicare con sub il soggetto che può essere un utente.
• aud: l'audience, ovvero il pubblico, indica a chi è rivolto il token.
• exp: con exp si indica la data di scadenza del token.
• nbf: viene indicata la data in cui il token inizierà a valere.
• iat: indica la data di creazione del token.
• jti: viene utilizzato per identificare il token univocamente.

Oltre a questi 7 claims è possibile aggiungere altre proprietà in base all'uso del token.

Come l'intestazione, il payload è un oggetto JSON codificato in base64.

Firma#edit

Serve per confermare la veridicità del token. Viene generata codificando, con l'algoritmo specificato dall'intestazione, l'intestazione già codificata in base64 concatenata con un punto . concatenato con il payload anch'esso già codificato in base64.

• (EN) RFC 7519 — JSON Web Token (JWT), su datatracker.ietf.org, Internet Engineering Task Force.