Выбор ответа Junior Аутентификация спрашивают часто обновлено
Зашифрован ли JWT
Вопрос
Что верно про payload обычного JWT (JWS, например HS256)?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Его прочитает кто угодно (это base64url), но без ключа не изменить: подпись не сойдётся. Подписанный JWT состоит из header и payload в base64url и подписи.
Варианты ответа
- Его прочитает кто угодно (это base64url), но без ключа не изменить: подпись не сойдётсяправильный ответ
- Он зашифрован секретом сервера, поэтому без ключа его нельзя ни прочитать, ни подменить
- Он хеширован при подписи, поэтому восстановить исходные данные не может даже сам сервер
- Его нельзя ни прочитать, ни изменить, пока не истёк
exp: до этого он запечатан
Разбор
Подписанный JWT состоит из header и payload в base64url и подписи. Декодировать payload можно в любом jwt-дебаггере, поэтому секреты туда класть нельзя. Подпись гарантирует целостность, а не конфиденциальность. Шифрование есть у отдельного формата JWE, но обычный JWT им не является. Хеширование данных не применяется, а exp влияет только на срок действия.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.