原作者:MiroslawShpak
标题:Youdon’tneedJWTanymore
编译:ChenZhou
编者注:JWT是JSONwebToken的简称,本质是一个token,是一种紧凑的URL安全方法,用于在网络通信的双方之间传递。以下为原文。
一个使用签名信息用web3验证用户的简单方法
以太坊登录很快就会成为用户标准,不再需要密码,这已经不是什么新鲜事了。尽管如此,dApp开发仍然是一个相当新的赛道,其开发的许多标准仍在设定之中。
观点:CPI数据再次加强了美联储6月暂停加息的可能:6月13日消息,今天的CPI数据降幅超出市场预期,但它们本可以更低,因为目前的数据仍然高于平均水平。对美联储来说,这意味着周四加息的可能性继续缩小,而这才是市场所关心的。这个CPI报告是否会影响美联储的点阵图还不好判断,一些鹰派成员可能会觉得他们继续加息的呼吁是正确的,他们可能会推动他们对利率上升的预测。然而,重要的是要注意,到7月做出决定还有时间,到12月甚至还有更长的时间,点阵图表示年底的利率。目前市场可能需要保持冷静,等待点阵图和美联储主席鲍威尔的到来。[2023/6/13 21:34:29]
现在,所有的开发者都在延续用传统做法编写dApp,本能地使用相同的JWT进行认证。我这里提出一个稍微不同的方法。
Ledger加速其开源路线图来解决对其Recover服务的担忧:金色财经报道,硬件钱包制造商 Ledger 表示,它将通过努力加速其开源路线图来解决对其 Recover 服务的担忧。 首席执行官 Pascal Gauthier 表示,Ledger 从不在安全方面妥协。该公司无意通过这项服务的发布来让任何人感到惊讶。我们无意的沟通错误让每个人都感到意外,并影响了我们的客户准确理解 Ledger Recover 的能力、它在不断发展的加密社区中的作用以及 Ledger 的未来产品。[2023/5/24 15:21:34]
我自己也开始使用JWT开发dApp。从第一个项目开始,我就觉得认证总是变得很棘手,而且在这个过程中一定有些多余的东西。在几个项目之后,我意识到JWT本身就是多余的。让我解释一下原因:
Argo:旗下一子公司在Signature Bank有现金存款,但存款安全且可用:3月14日消息,比特币矿企Argo Blockchain表示,其一家子公司在Signature Bank存有现金存款,但这些存款是安全的,可以使用。该公司补充称,Argo及其子公司对硅谷银行或Silvergate均无任何敞口。(Proactive Investors)[2023/3/14 13:03:20]
这张图显示了我在前几个项目中是如何进行认证的。这里的方案几乎完全复制了JWT的标准程序,唯一的一点是,用户发送的不是登录和密码,而是签名。
为什么我们需要得到JWT呢?毕竟,即使没有它,你也可以通过从用户的签名中获取地址来可靠地识别身份。
下面是如何简化的:
使用web3-token的认证流程
用户依旧会产生一个签名,但里面有了一个过期日期,所以即便攻击者得到了这个签名,也持续不了多久。此外,签名被放在标准的授权头中,并在服务器上通过获取用户的地址和在数据库中找到用户来处理。这就是全部。你不需要在服务器上不断地更新JWT的加密密钥,所以通常来说,服务器承担了绝大部分职责。
为了进一步简化这一流程,我制作了web3-token模块。要安装它,请使用以下命令。
1$npmiweb3-token
这个模块既可以用在服务器上,也可以用在客户端。
让我们看一个例子,从客户端开始:
调用.sign方法后,你会看到与此类似的东西。
MetaMask提醒去签署令牌
正如你所看到的,该信息对用户来说是完全透明的,因为他们必须看到他们正在签署的东西。因此,我决定不使用JSON结构来提高可读性,而是使用与HTTP头相同的结构。
在消息的正文中,我们可以看到令牌的版本和过期日期。
接下来,这里是后端对这个令牌的处理。
这很简单,只有一行,模块会处理所有加密问题。我们则可以从签名中获得用户的地址,并使用这个地址在数据库中找到他们。举个例子,然后你就可以通过他的地址授予这个用户一个NFT。
最终我们得到了一个非常方便的无状态用户认证方法,这也是混合型dApp的理想选择。唯一的缺点是,它很难在Postman中测试。
本文来自比推Bitpush.News,星球日报经授权转载。
郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。