So funktioniert JWT-Authentifizierung · Mindmaps
So funktioniert JWT-Authentifizierung. Eine bearbeitbare Mindmap mit farbigen Zweigen, Unterthemen und Verbindungen. Geschwungene Linien zeigen Beziehungen; Pfeile stehen nur dort, wo die Richtung wichtig ist.
Ein JSON Web Token ist eine signierte, in sich geschlossene Aussage darüber, wer Sie sind: Der Server erstellt es einmal bei der Anmeldung, und jede spätere Anfrage weist sich mit dem Token aus, statt eine Sitzung nachzuschlagen.
So funktioniert JWT-Authentifizierung · Mindmaps
Die interaktive MindMap-Zeichenfläche zu dieser Erklärung — jede Bahn, jede Zeile und jeder Pfeil oben gehört zu einem echten QueryChart-Diagramm, das Sie öffnen und bearbeiten können.
So lesen Sie diese Mindmap
- Beginnen Sie beim Thema in der Mitte und folgen Sie einem farbigen Zweig zu den zugehörigen Ideen.
- Geschwungene Linien zeigen Beziehungen; Pfeile stehen nur dort, wo die Richtung wichtig ist.
Sign in
Dieser Zweig verbindet “User submits email and password”, “Credentials valid?”, “Sign-in rejected”, “Server verifies the credentials against the database”.
Build token
Dieser Zweig verbindet “A JWT is three dot-separated parts: a header (algorithm), a payload of claims (who the user is, when the token expires), and a signature. The payload is readable by anyone — it is not secret, it is tamper-evident.”, “Server signs the token with its secret key”.
Client carries JWT
Dieser Zweig verbindet “Client receives the JWT and stores it”, “Client sends the JWT in the Authorization header”.
Verify
Dieser Zweig verbindet “Because the server never stores session state, this check is what makes JWT authentication “stateless” — no session table to look up on every request.”, “Signature valid and not expired?”.
Authorize or reject
Dieser Zweig verbindet “Server trusts the claims and processes the request”, “Request rejected with 401”.
Verbindungen zwischen den Zweigen
Ein JWT besteht aus drei Teilen (Header, Payload, Signatur), die durch Punkte verbunden sind; der Payload ist lesbar, Manipulationen fallen aber auf.
Die Signatur macht aus Identität eine Berechtigung: Der Besitz eines gültigen, nicht abgelaufenen Tokens authentifiziert die Anfrage.
Die Prüfung ist zustandslos: die erneute Berechnung der Signatur ersetzt den Blick in die Sitzungstabelle.
Der Client muss das Token sicher speichern und mit jeder Anfrage senden, deshalb ist sein Ablauf die eigentliche Sicherheitsgrenze.
JWT und OAuth greifen ineinander: OAuth entscheidet, was der Client tun darf, und JWT ist ein verbreitetes Format für das Token, das diese Erlaubnis trägt.
Wichtige Zusammenhänge und Erkenntnisse
- Ein JWT besteht aus drei Teilen (Header, Payload, Signatur), die durch Punkte verbunden sind; der Payload ist lesbar, Manipulationen fallen aber auf.
- Die Signatur macht aus Identität eine Berechtigung: Der Besitz eines gültigen, nicht abgelaufenen Tokens authentifiziert die Anfrage.
- Die Prüfung ist zustandslos: die erneute Berechnung der Signatur ersetzt den Blick in die Sitzungstabelle.
- Der Client muss das Token sicher speichern und mit jeder Anfrage senden, deshalb ist sein Ablauf die eigentliche Sicherheitsgrenze.
- JWT und OAuth greifen ineinander: OAuth entscheidet, was der Client tun darf, und JWT ist ein verbreitetes Format für das Token, das diese Erlaubnis trägt.
Wann Sie diese Darstellung nutzen
- Einem neuen Backend-Team erklären, warum keine Sitzungstabelle nötig ist und was die Signatur tatsächlich beweist.
- Zwischen JWT und serverseitigen Sitzungen wählen, wenn geteilter Zustand die horizontale Skalierung eines Dienstes schwierig macht.
- Die Claims eines Tokens (Ablauf, Aussteller, Zielgruppe) prüfen, bevor ein Microservice ihm vertraut.
So funktioniert es
Mittleres Thema anpassen
Benennen Sie das Thema für Ihr Projekt oder Ihren Unterricht um.
Zweige ausbauen
Bearbeiten Sie Ideen und ergänzen Sie Beispiele oder Notizen.
Ideen verbinden
Zeichnen Sie Verbindungen zwischen Zweigen; Pfeile zeigen eine wichtige Richtung an.
Häufig gestellte Fragen
Was ist ein JWT, und was steht darin?
Ein JSON Web Token ist eine Zeichenkette aus drei durch Punkte getrennten Teilen: einem Header, der den Signaturalgorithmus nennt, einem Payload mit Claims über den Nutzer und die Lebensdauer des Tokens, und einer Signatur. Header und Payload sind base64-codiertes JSON (für jeden lesbar), und die Signatur ist das, was eine Änderung ohne den Signaturschlüssel verhindert.
Warum heißt JWT-Authentifizierung zustandslos?
Weil der Server nichts über die Sitzung speichert. Jede Anfrage bringt das Token mit, und der Server prüft Signatur und Ablauf an Ort und Stelle. Es gibt keine Sitzungstabelle abzufragen und keinen Zustand über Server hinweg zu replizieren, und genau das lässt den Ansatz horizontal skalieren. Der Preis dafür: Ein Token lässt sich vor seinem Ablauf nur mit zusätzlicher Technik widerrufen.
Ist ein JWT sicher, wenn jeder den Payload lesen kann?
Lesen und Vertrauen sind zweierlei. Der Payload ist nicht verschlüsselt (schreiben Sie keine Geheimnisse hinein), aber die Signatur sorgt dafür, dass jede Änderung das Token ungültig macht, ein Client kann seine eigenen Claims also nicht umschreiben. Für die Transportsicherheit reist das Token innerhalb von HTTPS, und die Daten, zu denen es Zugang gewährt, schützt der Ressourcenserver, indem er die Claims durchsetzt.
Wie hängen JWT und OAuth zusammen?
Sie lösen unterschiedliche Hälften des Problems. OAuth ist das Autorisierungsprotokoll: wie ein Client eine Erlaubnis und ein Token erhält. JWT ist ein Token-Format. In der Praxis sind OAuth-Access-Token oft JWTs: Der Autorisierungsserver signiert ein JWT, das die Scopes trägt, und Ressourcenserver prüfen es. Diese Zeichenfläche behandelt die Authentifizierung; die Darstellung zu OAuth behandelt die Delegation.
Diese Mindmap in QueryChart bearbeiten
Öffnen Sie die Mindmap auf einer bearbeitbaren Leinwand. Verschieben Sie Ideen und ergänzen Sie Zweige und Verbindungen.