1
REST API安全性：HMAC /密钥哈希与JWT
我刚刚读了这篇已有几年历史的文章，但是描述了一种保护REST API的聪明方法。实质上： 每个客户都有唯一的公钥/私钥对 只有客户端和服务器才知道私钥。它永远不会通过电线发送 对于每个请求，客户端都会获取多个输入（整个请求本身，当前时间戳和私钥），并通过HMAC函数运行它们以生成请求的哈希 然后，客户端将常规请求（包含公钥）和哈希发送到服务器 服务器会查询客户端的私钥（基于提供的公钥），并进行一些时间戳检查（我当然不理解），以验证请求是否不是受害对象。 重播攻击 如果一切正常，则服务器使用私钥和相同的HMAC函数来生成其自己的请求哈希 然后，服务器比较两个哈希（客户端发送的哈希值以及它生成的哈希值）；如果它们匹配，则对请求进行身份验证并允许其继续 然后我偶然发现了JWT，听起来很相似。但是第一篇文章根本没有提到JWT，因此我想知道JWT是否与上述auth解决方案不同，如果有所不同，怎么做。