52

Vi em algum comentário aqui no site, em alguma pergunta, falando sobre JWT para resolver um problema de autenticação. Já tinha visto o termo vagamente anteriormente e eu pensava que se tratava de alguma coisa do Java (hehehe).

Porém, dando uma olhada em jwt.io, percebi que se tratava de uma coisa bem diferente.

Então vou perguntar:

  • O que é JWT? É uma biblioteca? Uma especificação?

  • Para que serve?

6
  • 3
    Eu jurava que era algo relacionado com java.
    – durtto
    Commented 26/09/2016 às 16:27
  • 3
    Se fosse pra Java eu saberia responder :P
    – Maniero
    Commented 26/09/2016 às 16:28
  • 3
    Quando li JWT a primeira coisa que me veio em mente foi Java :P
    – gato
    Commented 26/09/2016 às 16:29
  • Basicamente é um token criptografado para autenticação que contem o usuario é possível colocar um "tempo de validade" para o token. Commented 24/01/2017 às 12:21
  • Relacionado: pt.stackoverflow.com/questions/143304/… Commented 10/03/2017 às 17:45

1 Resposta 1

57
+100

O JWT, na informática, pode se referir a:

JWT autenticação

JWT (JSON Web Token), com o T em maiúsculo, ele é um sistema de transferência de dados que pode ser enviado via URL, POST ou em um cabeçalho HTTP (header) de maneira "segura", essa informação é assinada digitalmente, por exemplo assinada com o algoritmo HMAC, ou um par de chaves pública/privada usando RSA.

Um exemplo de situação que ele pode ser usado é a autenticação, uma vez que o usuário está conectado, cada pedido que vier irá incluir o JWT, permitindo que o usuário continue acessando serviços e recursos que são foram liberados com tal token (Single sign-on (SSO)).

A estrutura do JWT é em 3 partes divididas por pontos:

  • Cabeçalho

    Consiste em 2 partes geralmente, o tipo do token, que é JWT e o tipo do algorítimo de HASH, como por exemplo HMAC SHA256 ou RSA, exemplo:

    {
      "alg": "HS256",
      "typ": "JWT"
    }
    

    Este será a primeira parte do JSON codificado em base64 para formar o JWT

  • Payload (carga de dados ou os dados enviados)

    Esta é a segunda parte do token, ele contem os "pedidos". Esse "pedidos" são declarações sobre uma entidade (geralmente, o usuário) e metadados adicionais e existem 3 tipos: reserved, public, e private claims. Um exemplo:

    {
      "sub": "1234567890",
      "name": "John Doe",
      "admin": true
    }
    
  • Assinatura

    Para gerar a assinatura você deve usar o Cabeçalho e o Payload codificando eles, usando o algorítimo definido no cabeçalho e assinar, no exemplo do Cabeçalho usamos HS256 (HMAC SHA256), então deve ficar algo como:

    HMACSHA256(
      base64UrlEncode(Cabeçalho) + "." +
      base64UrlEncode(Payload),
      secret)
    

    A assinatura é usada para verificar que o emissor da "JWT", é realmente "quem" se diz ser e também para verificar se a mensagem não foi alterada ao longo do caminho.

O resultado seria algo como:

(Cabeçalho em base64).(Payload em base64).(Assinatura em base64)

Um exemplo de envio via header no HTTP:

GET /foo/bar HTTP/1.1
Host: www.exemplo.com
Authorization: Bearer (Cabeçalho em base64).(Payload em base64).(Assinatura em base64)

Ou seja por ser algo que é transmitido via HTTP pode ser usado com qualquer linguagem que suporte os requisitos mínimos para gerar o TOKEN e enviar uma requisição HTTP, como Java, C#, PHP, Python.

Site: https://jwt.io


JWt e Java

Existe sim um JWt (quer dizer Java web toolkit, se pronuncia "jay-witty") que é em Java (notem que neste caso o t é minusculo) e não tem ligação alguma com o JWT, ele é um framework voltado para o desenvolvimento web.

Ele é semelhante a outros frameworks web, todavia você pode desenvolver quase tudo diretamente em Java e ele irá gerar a parte HTML e Javascript, fora que possui vários componentes e a capacidade de estende-los modifica-los.

Um Hello World por exemplo:

src/HelloMain.java:

package eu.webtoolkit.jwt.examples.hello;

import eu.webtoolkit.jwt.WApplication;
import eu.webtoolkit.jwt.WEnvironment;
import eu.webtoolkit.jwt.WtServlet;

public class HelloMain extends WtServlet {
    private static final long serialVersionUID = 1L;

    public HelloMain() {
        super();
    }

    @Override
    public WApplication createApplication(WEnvironment env) {
        /*
         * You could read information from the environment to decide whether the
         * user has permission to start a new application
         */
        return new HelloApplication(env);
    }
}

src/HelloApplication.java:

package eu.webtoolkit.jwt.examples.hello;

import eu.webtoolkit.jwt.Side;
import eu.webtoolkit.jwt.Signal;
import eu.webtoolkit.jwt.WApplication;
import eu.webtoolkit.jwt.WBreak;
import eu.webtoolkit.jwt.WEnvironment;
import eu.webtoolkit.jwt.WLineEdit;
import eu.webtoolkit.jwt.WPushButton;
import eu.webtoolkit.jwt.WText;
public class HelloApplication extends WApplication {
    public HelloApplication(WEnvironment env) {
        super(env);

        setTitle("Hello world");

        getRoot().addWidget(new WText("Your name, please ? "));
        final WLineEdit nameEdit = new WLineEdit(getRoot());
        nameEdit.setFocus();

        WPushButton button = new WPushButton("Greet me.", getRoot());
        button.setMargin(5, Side.Left);

        getRoot().addWidget(new WBreak());

        final WText greeting = new WText(getRoot());

        button.clicked().addListener(this, new Signal.Listener() {
            public void trigger() {
                greeting.setText("Hello there, " + nameEdit.getText());
            }
        });
    }
}

Ele gera algo como (claro que varia também conforme configura o projeto):

<!DOCTYPE html>
<html lang="en" dir="ltr">
<head>
<link rel="shortcut icon" href="/favicon.ico">

<meta name="robots" content="noindex, nofollow">
<title></title>
<!--[if gte IE 6]>
<style type="text/css">
v\:* { behavior:url(#default#VML); position:absolute }
</style>
<script id="ie-deferred-loader" defer="defer" src="//:"></script>
<![endif]-->
<script>
/*<![CDATA[*/
window.onresize=function(){};
function loadScript(a,l){var r=document.getElementsByTagName("head")[0],t=/firefox\/(\d+)\./.exec(navigator.userAgent.toLowerCase());if(t&&t[1]>=20){var m=new XMLHttpRequest;m.open("GET",a,true);m.onreadystatechange=function(){if(m.readyState==4){var u=document.createElement("script");u.type="text/javascript";u.innerHTML=m.responseText;r.appendChild(u);l&&l()}};m.send(null)}else{var g=document.createElement("script");if(l)if(g.readyState)g.onreadystatechange=function(){if(g.readyState=="loaded"||
g.readyState=="complete"){g.onreadystatechange=null;l()}};else g.onload=function(){l()};g.setAttribute("src",a);r.appendChild(g)}};
(function(){function a(){function l(){return Math.round(Math.random()*1E6)+724045511}function r(c){if(h.location.replace)h.location.replace(c);else h.location.href=c}function t(){var c=p.getElementById("Wt-form");if(c!=null)c.style.visibility="hidden";else setTimeout(t,10)}function m(){var c=window.location.search;if(c.length>1&&c.charAt(0)=="?")c=c.substr(1);return c.split("&")}function g(c){var q,j,e,n;j=m();q=0;for(n=j.length;q<n;q++){e=j[q].split("=");if(e.length>=2)if(e[0]===c)return unescape(e[1])}return null}
function u(c,q){var j,e,n,y,z=false;e=m();j=0;for(y=e.length;j<y;j++){n=e[j].split("=");if(n.length>=2)if(n[0]===c){n[1]=escape(q);e[j]=n.join("=");z=true;break}}z||e.push(c+"="+escape(q));return"?"+e.join("&")+window.location.hash}var p=document,h=window;try{p.execCommand("BackgroundImageCache",false,true)}catch(B){}h.opera&&h.opera.setOverrideHistoryNavigationMode("compatible");var i='',d=h.location.pathname;h.opera||(d=decodeURIComponent(d));if(i.length>0){var b=d.lastIndexOf(i);if(b!=
-1)d=d.substr(0,b)+d.substr(b+i.length)}i="&deployPath="+encodeURIComponent(d);var o=h.XMLHttpRequest||h.ActiveXObject,k=true;d=new Date;d.setTime(d.getTime()+1E3);;p.cookie="jscookietest=valid";k=k||false&&p.cookie.indexOf("jscookietest=valid")!=-1;p.cookie="jscookietest=valid;expires=Thu, 01 Jan 1970 00:00:00 GMT";p.cookie="WtTestCookie=ok;path=/;expires="+d.toGMTString();;b=h.location.hash;if(b.length>0)b=b.substr(1);var f=
b.indexOf("?");if(f!=-1)b=b.substr(0,f);f=navigator.userAgent.toLowerCase();if(f.indexOf("gecko")==-1||f.indexOf("webkit")!=-1)b=unescape(b);f="";if(screen.deviceXDPI!=screen.logicalXDPI)f="&scale="+screen.deviceXDPI/screen.logicalXDPI;;if(window.WebGLRenderingContext){var v=document.createElement("canvas"),s=null;try{s=v.getContext("webgl",{antialias:true})}catch(C){}if(s==null)try{s=v.getContext("experimental-webgl")}catch(D){}if(s!=null)f+="&webGL=true"};f+=
"&scrW="+screen.width+"&scrH="+screen.height;var w='/jwt-hello/;jsessionid=F4619EEEB03D1B761518BFEAF5306B9D?wtd=F4619EEEB03D1B761518BFEAF5306B9D'+"&sid="+-1435776466;s=(v=!!(window.history&&window.history.pushState))?"&htmlHistory=true":"";var A=(new Date).getTimezoneOffset();f+="&tz="+-A;if(k=!k||!o)if(g("wtd")==="F4619EEEB03D1B761518BFEAF5306B9D")k=false;if(k)if(v)r(u("wtd","F4619EEEB03D1B761518BFEAF5306B9D"));else{i=b.length>1&&b.charAt(0)=="/"?b:'';if(i.length>0)w+="#"+i;r(w)}else if(o){o='';k="";if(!v&&o.length>1){;if(o.charAt(0)=="#")o="../"+o;r(o)}else{if(b.length>1&&b.charAt(0)=="/"){k="&_="+encodeURIComponent(b);};var x=k+f+s+i;;loadScript(w+x+"&request=script&rand="+l(),null);;}}}setTimeout(a,0)})();

/* ]]> */
</script>
<noscript><meta http-equiv="refresh" content="0; url=/jwt-hello/;jsessionid=F4619EEEB03D1B761518BFEAF5306B9D?wtd=F4619EEEB03D1B761518BFEAF5306B9D&amp;js=no"></noscript>
<style type="text/css" id="Wt-inline-css"></style>
</head>
<body>
<!--[if lt IE 8]>
<iframe id="Wt-history-iframe" src="/jwt-hello/;jsessionid=F4619EEEB03D1B761518BFEAF5306B9D?wtd=F4619EEEB03D1B761518BFEAF5306B9D&amp;request=resource&amp;resource=blank"
 style="position:absolute;top:0;left:0;width:1px;height:1px;visibility:hidden;">
</iframe>
<![endif]-->
<input id="Wt-history-field" type="hidden"/>
<noscript>
  <a href="/jwt-hello/;jsessionid=F4619EEEB03D1B761518BFEAF5306B9D?wtd=F4619EEEB03D1B761518BFEAF5306B9D&amp;js=no">Plain HTML version</a>

<link href="/jwt-hello/;jsessionid=F4619EEEB03D1B761518BFEAF5306B9D?wtd=F4619EEEB03D1B761518BFEAF5306B9D&amp;request=style&amp;page=1&amp;js=no" rel="stylesheet"
      type="text/css" >

</noscript>

<link href="/jwt-hello/;jsessionid=F4619EEEB03D1B761518BFEAF5306B9D?wtd=F4619EEEB03D1B761518BFEAF5306B9D&amp;request=style&amp;page=1" rel="stylesheet"
      type="text/css" >

<!--[if gte IE 6]>
<script type="text/javascript">
document.namespaces.add("v","urn:schemas-microsoft-com:vml","#default#VML");
</script>
<![endif]-->
<script type="text/javascript">
/*<![CDATA[*/
setTimeout(function() {
if (typeof $ !== 'undefined')
  $(document).ready(function() { Wt._p_.load(true);});
}, 0);
/* ]]> */
</script>
</body>
</html>

Site: https://www.webtoolkit.eu/jwt

3
  • Bacana demais sua resposta @Guilherme, hoje assisti um vídeo que um dos principais recursos dele é a padronização de requisições entre diferentes aplicações para identificação do browser, dispositivo e ou outra aplicação. Acho que faltou na resposta :D
    – Marconi
    Commented 27/06/2018 às 0:08
  • 1
    @Marconi sim, concordo, mas acho que tem que ser algo mais elaborado para explicar o que exatamente é essa padronização, no caso o link do RFC provavelmente já explica isso bem tools.ietf.org/html/rfc7519, então prometo editar com estes detalhes em breve.
    – Syzoth
    Commented 27/06/2018 às 2:01
  • 1
    @GuilhermeNascimento, não quero causar polêmica, mas estou começando a entender o JWT agora. De acordo com o texto acima Um exemplo de situação que ele pode ser usado é a autenticação, mas olhando o texto da página oficial acabei notando que ele não é utilizado para autenticação, embora seja usado após a autênticação e sim utilizado como autorização conforme o texto do site jwt.io/introduction na parte When should you use JSON Web Tokens?. Não sei se essa é uma informação relevante ou se meu apontamento faz sentido na explicação, mas fica como observação. Commented 27/07/2020 às 13:21

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .