JSON Web Token, यानी JWT, आधुनिक ऑथेंटिकेशन में हर जगह दिखते हैं, फिर भी इन्हें लेकर एक बुनियादी ग़लतफ़हमी बेहद आम है। बहुत-से डेवलपर मानते हैं कि JWT एक तरह का गुप्त, एन्क्रिप्टेड संदेश है जिसकी सामग्री सुरक्षित है। असल में एक सामान्य JWT कुछ भी नहीं छिपाता — उसका हेडर और पेलोड कोई भी पढ़ सकता है। इसकी असली ताक़त गोपनीयता में नहीं, बल्कि हस्ताक्षर में है, जो यह साबित करता है कि सामग्री से छेड़छाड़ नहीं हुई।
एक JWT असल में किन हिस्सों से बना होता है
एक JWT तीन हिस्सों में बँटा होता है, जो बिंदुओं से अलग किए जाते हैं — हेडर, पेलोड और हस्ताक्षर। हेडर बताता है कि टोकन किस प्रकार का है और किस एल्गोरिथ्म से हस्ताक्षरित किया गया। पेलोड में दावे होते हैं — जैसे उपयोगकर्ता कौन है और टोकन कब समाप्त होगा। हस्ताक्षर इन दोनों को मिलाकर एक प्रमाण बनाता है।
हेडर और पेलोड दोनों केवल Base64URL में एन्कोड किए जाते हैं, एन्क्रिप्ट नहीं। इसका सीधा मतलब है कि कोई भी इन्हें डिकोड करके भीतर का JSON पढ़ सकता है। इसलिए किसी संवेदनशील रहस्य को JWT के पेलोड में रखना उसे सार्वजनिक रूप से लिख देने जैसा है।
हस्ताक्षर ही असली सुरक्षा है
तीसरा हिस्सा, हस्ताक्षर, वह कुंजी है जो पूरी प्रणाली को अर्थ देती है। इसे सर्वर एक गुप्त कुंजी से गणना करता है, और इसी के आधार पर बाद में पुष्टि कर सकता है कि हेडर और पेलोड बदले तो नहीं गए। अगर कोई हमलावर पेलोड का एक अक्षर भी बदलता है, तो हस्ताक्षर मेल नहीं खाता और टोकन अमान्य हो जाता है।
यही JWT का केंद्रीय विचार है — यह सामग्री को छिपाता नहीं, बल्कि उसकी अखंडता और प्रामाणिकता की गारंटी देता है। टोकन खुला पड़ा हो सकता है, पर बिना गुप्त कुंजी के कोई उसे वैध रूप से बदल नहीं सकता।
दावे क्या होते हैं
पेलोड के भीतर रखी जानकारी को दावा यानी क्लेम कहते हैं। कुछ दावे मानक होते हैं और एक तय अर्थ रखते हैं — जैसे टोकन किसने जारी किया, किसके लिए है, और कब तक मान्य है। बाक़ी दावे अनुप्रयोग अपनी ज़रूरत के अनुसार जोड़ सकता है, जैसे उपयोगकर्ता की भूमिका या कोई पहचानकर्ता।
समाप्ति का दावा ख़ास तौर पर अहम है। यह तय करता है कि टोकन कब तक भरोसेमंद है, और इसी से एक चुराया गया टोकन भी हमेशा के लिए ख़तरा नहीं बना रहता। इसके बिना टोकन अनिश्चितकाल तक वैध रहेगा, जो एक बड़ा जोखिम है।
टोकन का जीवन-चक्र
आम तौर पर उपयोगकर्ता पहले अपनी पहचान प्रमाणित करता है, और सफल होने पर सर्वर एक हस्ताक्षरित JWT जारी करता है। इसके बाद क्लाइंट हर अनुरोध के साथ यह टोकन भेजता है। सर्वर हर बार हस्ताक्षर जाँचता है और दावों को पढ़कर तय करता है कि अनुरोध को अनुमति देनी है या नहीं।
इस मॉडल की ख़ासियत यह है कि सर्वर को हर बार किसी भंडार में टोकन ढूँढने की ज़रूरत नहीं — हस्ताक्षर की पुष्टि अपने आप में पर्याप्त है। यही JWT को वितरित प्रणालियों में आकर्षक बनाता है, पर इसके अपने सौदे भी हैं, जिन पर आगे बात होगी।
सर्वर को टोकन याद नहीं रखना पड़ता
परंपरागत सत्र-आधारित मॉडल में सर्वर हर सक्रिय सत्र की जानकारी अपने पास रखता है। JWT इस ज़रूरत को पलट देता है — चूँकि टोकन ख़ुद ही हस्ताक्षरित और आत्मनिर्भर है, सर्वर को उसकी कोई प्रति रखने की ज़रूरत नहीं। यह एक बड़ा वास्तुशिल्पीय लाभ हो सकता है।
पर यही गुण एक चुनौती भी है। चूँकि सर्वर टोकन याद नहीं रखता, इसलिए किसी जारी किए टोकन को बीच में रद्द करना कठिन हो जाता है। एक बार हस्ताक्षरित टोकन अपनी समाप्ति तक वैध रहता है, चाहे बीच में कुछ भी बदल जाए।
हस्ताक्षर की दो शैलियाँ
हस्ताक्षर बनाने के मोटे तौर पर दो तरीक़े हैं, और दोनों के अपने उपयोग हैं। एक शैली में एक ही साझा गुप्त कुंजी से हस्ताक्षर बनाया और जाँचा जाता है, इसलिए जो टोकन बना सकता है वही उसे जाँच भी सकता है। यह सरल है और तब उपयुक्त है जब टोकन बनाने और जाँचने का काम एक ही भरोसेमंद पक्ष करता हो।
दूसरी शैली में एक निजी कुंजी से हस्ताक्षर बनाया जाता है, पर उसे एक अलग, सार्वजनिक कुंजी से जाँचा जा सकता है। इसका बड़ा लाभ यह है कि कई पक्ष टोकन की पुष्टि कर सकते हैं, पर कोई नया टोकन नहीं बना सकता। यही शैली उन प्रणालियों में उपयुक्त बैठती है जहाँ कई अलग सेवाओं को टोकन जाँचने हों।
इन दोनों शैलियों का भेद समझना अहम है, क्योंकि ग़लत शैली चुनना या इन्हें मिला देना गंभीर सुरक्षा-समस्या पैदा कर सकता है। सही शैली का चुनाव इस पर निर्भर करता है कि टोकन कौन बनाता है और कौन-कौन उसे जाँचता है।
JWT जो वादा नहीं करता
JWT को सही ढंग से इस्तेमाल करने के लिए यह जानना उतना ही ज़रूरी है कि यह क्या नहीं करता। यह गोपनीयता नहीं देता — पेलोड खुला पठनीय है। यह स्वतः रद्दीकरण नहीं देता — एक बार जारी टोकन समाप्ति तक जीवित रहता है। और यह अपने आप यह सुनिश्चित नहीं करता कि गुप्त कुंजी सुरक्षित रखी गई है।
इन सीमाओं को जानना ही सही उपयोग की नींव है। JWT एक हस्ताक्षरित दावा है, गुप्त तिजोरी नहीं। इसे इसी रूप में समझकर इस्तेमाल किया जाए, तो यह एक सरल और शक्तिशाली उपकरण है। इसे ग़लत समझकर इस्तेमाल किया जाए, तो यह सुरक्षा का एक झूठा भरोसा बन जाता है — और यही अगली चर्चा का विषय है।