Wstęp

Dlaczego potrzebny jest token JWT?

Figure 1: JWT Implementation in the ASAP Add-On

• Punkt końcowy tokena JWT
• Sekret JWT

import io.jsonwebtoken.SignatureAlgorithm;

import javax.crypto.spec.SecretKeySpec;

import java.security.Key;

import io.jsonwebtoken.JwtBuilder;

import io.jsonwebtoken.Jwts;

import java.io.UnsupportedEncodingException;

 

 

public static String generateJwt(String userToken) throws UnsupportedEncodingException{

 String secretKey = ""; //This value will be given once add-on is created. Then replace the provided value here

long notBeforeMillis = System.currentTimeMillis();

long notAfterMillis = notBeforeMillis + 300000;

 

SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;

 

byte[] apiKeySecretBytes = secretKey.getBytes();

Key signingKey = new SecretKeySpec(apiKeySecretBytes, signatureAlgorithm.getJcaName());

 

JwtBuilder builder = Jwts.builder().signWith(signatureAlgorithm, signingKey);

 

String jwt = builder.claim("email_verified", true)

.claim("not_after", notAfterMillis)

.claim("not_before", notBeforeMillis)

.claim("email", <user_email_address_from_user_token>).compact();

return jwt;

}  

• userToken to parametr wejściowy, który uwzględnia token użytkownika otrzymany z aplikacji. Ten parametr przenosi dane użytkownika zalogowanego do aplikacji. Dlatego upewnij się, że token użytkownika jest szyfrowany, gdy jest wysyłany z aplikacji do serwera IAM Zoho, a następnie do punktu końcowego JWT. To właśnie w punkcie końcowym JWT token użytkownika musi zostać odszyfrowany i zweryfikowany pod kątem autentyczności.
• Parametr email zwraca adres e-mail użytkownika.
• Parametr email_verified to parametr logiczny zwracany, jeśli adres e-mail jest zweryfikowany, czy nie, a następnie wysyła token OAuth do dodatku ASAP.
• Parametry not_before i not_after definiują czas, po którym token JWT wygasa. Wartość tych parametrów musi być w formacie uniwersalnego czasu koordynowanego (UTC) i wyrażona w milisekundach.
• Aby zapewnić silne bezpieczeństwo, upewnij się, że różnica czasu między parametrami not_before i not_after nie przekracza 600000 milisekund (10 minut).
 

Jak działa token JWT?

• jeśli token użytkownika jest nieprawidłowy, odpowiedź JWT jest odsyłana z wartością parametru email_verified ustawionego na false
• Jeśli serwer IAM otrzyma prawidłową odpowiedź JWT, wysyła dalej token OAuth2, który ostatecznie uznaje użytkownika końcowego za użytkownika portalu pomocy technicznej.
 

Kluczowe punkty do zapamiętania

• Adres URL tokena JWT można zmienić w dowolnym momencie na stronie konfiguracji.
• Adres URL musi zawierać parametr o nazwie „token_użytkownika” do przekazywania informacji o użytkowniku do serwera JWT.
• Odpowiedź JWT musi zostać zwrócona jako zwykły łańcuch.
• Odpowiedź JWT musi zawierać parametry email, email_verified, not_before i not_after.
• Zmiana czasu serwera aplikacji może wpłynąć na wartości ustawione dla parametrów not_before i not_after. Dlatego pamiętaj o zmodyfikowaniu kodu JWT również po zmianie czasu serwera aplikacji.
• Obecnie do podpisywania jest obsługiwany tylko algorytm HMACSHA256.