Cette présentation reprend du contenu et suit plusieurs autres présentations et articles sur le Web. Vous trouverez de plus amples informations en y accédant. Elles sont toutefois en anglais :-) Les voici :
HTTP/1.1 401 Access Denied
WWW-Authenticate: Basic realm="Mon Serveur"
Content-Length: 0
GET /info/ HTTP/1.1
Host: benoitpiette.com
Authorization: Basic Base64EncodedString
HTTP/1.1 302 Moved
Location: /login
POST /login HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 27
username=toto&password=tata
HTTP/1.1 200 Ok
Set-Cookie: JSESSIONID=488q98r9q87r6q987r
GET /info/ HTTP/1.1
Cookie: JSESSIONID=488q98r9q87r6q987r
HTTP/1.1 401 Access Denied
WWW-Authenticate: Bearer realm="Mon Serveur"
Content-Length: 0
POST /login HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 27
username=toto&password=tata
HTTP/1.1 200 Ok
{token:header.payload.signature}
GET /info/ HTTP/1.1
Authorization: Bearer header.payload.signature
aaaaaaa.bbbbbbbb.cccccccc
{
"typ": "JWT",
"alg": "HS256"
}
{
"sub": "1234567890",
"name": "John Doe",
"admin": true
}
Ils sont tous facultatifs.
La signature utilise un algorithme (ex: HMAC SHA256) où l'en-tête et le payload sont encodés, puis signés à partir d'un secret connu seulement de l'émetteur du jeton (serveur d'authentification) et du consommateur (l'application Web - côté serveur)
base64URLEncode (HMACSHA256 ( base64URLEncode (header) + "." + base64URLEncode (payload)) )
Les appels AJAX CORS ne transportent pas toujours les cookies
Un JWT est ajouté au headers dans un XMLHttpRequest 2 et peut être utilisé dans un contexte CORS
xhr.setRequestHeader('Authorization','Bearer ' + JWTToken);
res.writeHead(200, {"Context-Type" : "text/plain",
"Access-Control-Allow-Origin" : "*",
"Access-Control-Allow-Methods" : "POST, GET, PUT, DELETE, OPTIONS",
"Access-Control-Allow-Credentials" : false,
"Access-Control-Max-Age" : '86400',
"Access-Control-Allow-Headers" : "Content-Type, Accept"
});
sessionStorage.setItem("jwtToken", theToken);
// Encodage de chaînes de catactères UTF-8
var encoder = new TextEncoder("utf-8");
// encode en arraybuffer de int8
var encodedText = encoder.encode("Bonjour le monde ééé");
// Décode en chaînes de catactères iso-8859-1
var decoder = new TextDecoder("iso-8859-1");
var decodedText = decoder.decode(encodedText);
var crypto = window.crypto || window.msCrypto;
function hashe() {
var encoder = new TextEncoder("utf-8");
// encode en arraybuffer de int8
var encodedText = encoder.encode(document.getElementById("el1").value);
window.crypto.subtle.digest(
{
name: "SHA-1"
}, encodedText
).then(function(hash){
var encodedHash = new Uint8Array(hash);
var decoder = new TextDecoder("utf-8");
var decodedText = decoder.decode(encodedHash);
document.getElementById("hashed").innerHTML = decodedText;
}).catch(function(err){
console.error(err);
});
}