ป้ายกำกับ: Confluence

✨ JWT: คู่มือเจาะลึกโครงสร้างและกลไกการทำงานของ Json Web Token

ในโลกของการพัฒนาเว็บแอปพลิเคชันสมัยใหม่ โดยเฉพาะสถาปัตยกรรมแบบ Microservices การจัดการสถานะของผู้ใช้ (State Management) ถือเป็นความท้าทายสำคัญ ระบบ Authentication แบบดั้งเดิมที่พึ่งพา Session Server มักจะเกิดปัญหาคอขวดเมื่อมีการ Scale อย่างรุนแรง ปัญหาเหล่านี้ได้นำไปสู่กำเนิดมาตรฐานทางเทคนิคที่มีประสิทธิภาพสูง นั่นคือ JSON Web Token หรือ JWT ซึ่งไม่ได้ทำหน้าที่เพียงแค่ ‘บัตรผ่าน’ เท่านั้น แต่ยังรวมถึงข้อมูลยืนยันตัวตนผู้ใช้งานอย่างปลอดภัยโดยไม่จำเป็นต้องอาศัยฐานข้อมูลส่วนกลางในการตรวจสอบทุกครั้ง

🎯 หลักการพื้นฐานและการแก้ปัญหา Statelessness ด้วย JWT

JWT คือรูปแบบ Compact, Self-contained format ที่ถูกออกแบบมาเพื่อถ่ายโอน Claim (ชุดข้อกล่าวอ้างหรือคุณสมบัติ เช่น ID ผู้ใช้ ชื่อ บทบาท) ระหว่างภาคบริการต่างๆ ทั่วทั้งระบบได้อย่างไร้รอยต่อหัวใจหลักที่ทำให้มันเหนือกว่าวิธีการอื่น ๆ ในด้าน Scalability เพราะมันช่วยให้ API Gateway สามารถทำการพิสูจน์อัตลักษณ์เบื้องต้นได้ทันที โดยไม่ต้องเรียกไปยังเซิร์ฟเวอร์ Auth Service เพื่อสอบถามสถานะของผู้ใช้อยู่ตลอดเวลา นี่จึงเป็นแนวคิดของ ‘Stateless’ Authentication.

🧩 โครงสร้างสามเสา: Header . Payload . Signature

Token ของ JWT จะประกอบด้วยองค์ประกอบสำคัญสามส่วนที่เชื่อมกันด้วยเครื่องหมายจุด (`.`): Header | `Payload` | `Signature` การทำความเข้าใจโครงสร้างนี้คือกุญแจสู่การรักษาความมั่นคงทางไซเบอร์อย่างแท้จริง:

• 1. Header (ข้อมูลตัวระบุอัลกอริทึมและ Key): ส่วนแรกจะบอกว่า Token นี้เข้ารหัสโดยมาตรฐานอะไร และต้องใช้อัลกอริทึมใดในการตรวจสอบลายเซ็น มักจะเป็นรูปแบบ JSON ที่มีการ Base64URL Encoding แล้ว
• 2. Payload (Claim Set/ข้อกล่าวอ้าง): คือพื้นที่เก็บชุด Claim ต่างๆ เช่น Subject (ใคร), Issuer (ผู้ออก) หรือ Time-based Claims อย่าง ‘exp’ (วันหมดอายุ). ข้อมูลเหล่านี้ไม่ถูกจัดว่าเป็นรหัสลับ แต่เป็นการยืนยันคุณสมบัติ ณ เวลาหนึ่ง ๆ ซึ่งจำเป็นต่อระบบ Backend ในการประมวลผลสิทธิ์ของผู้ใช้
• 3. Signature (ลายนิ้วมือดิจิทัลของการรับรอง): นี่คือกรรมฐานชิ้นสำคัญที่สุด! มันไม่ได้แค่ทำให้ดูน่าเชื่อถือเท่านั้น แต่มันเป็นกลไกหลักที่ *ป้องกัน* ไม่ให้ผู้โจมตีแก้ไขข้อมูลในส่วนของ Payload ได้ หากมีบุคคลภายนอกพยายามเปลี่ยนแปลงค่า User ID ใด ๆ ลายเซ็นนี้จะไม่ตรงกัน ทำให้ API Gateway ปฏิเสธ Token นั้นทันที

  Plain Text

  Plain Text

  JWT = BASE64UrlEncode(Header, KeyAlg)(BASE64UrlEncode(Payload)) + '.' + HMACSHA(<span class='key'>SecretKey</span>, Base64UrlEncode(Header) + '.' + Base64UrlEncode(Payload)).ToString();
  

  🔒 ข้อควรระวังด้านความปลอดภัยสำหรับนักพัฒนา

  แม้ว่า JWT จะมีความแข็งแกร่งสูง แต่ก็ไม่ใช่ยาวิเศษ การใช้งานอย่างผิดพลาดอาจนำไปสู่ช่องโหว่ร้ายแรง นักพัฒนามืออาชีพจึงต้องคำนึงถึงข้อจำกัดเหล่านี้:

  • HTTPS เสมอ (Transmission Security): ต้องส่งผ่าน HTTPS เท่านั้น เพื่อป้องกัน Man-in-the-Middle Attack ในการดักจับตัว Token
  • กำหนดวันหมดอายุสั้นที่สุด (Short Expiration Time – `exp` claim): ควรตั้งค่าให้ Access Tokens มีระยะเวลาชีวิตที่สั้นมาก และใช้ Refresh Tokens สำหรับออก Access Token ใหม่เท่านั้น หากถูกขโมย ตัว Damage ก็จะอยู่ในวงแคบลง
  • เก็บ Secret Keys อย่างมิดชิด: ลายเซ็นของระบบทั้งหมดขึ้นอยู่กับ Private Key หรือ Shared Secret ที่ใช้ในการสร้าง Signature ห้ามเปิดเผยคีย์นี้เด็ดขาด! นี่คือจุดอ่อนหมายเลขหนึ่งของการ Implementations ผิดวิธี