一文詳解為什么 Web 3.0 時代不再需要 JWT ？_WEB:KEN

原作者：MiroslawShpak

標題：Youdon’tneedJWTanymore

編譯：ChenZhou

編者注：JWT是JSONwebToken的簡稱，本質是一個token，是一種緊湊的URL安全方法，用于在網絡通信的雙方之間傳遞。以下為原文。

一個使用簽名信息用web3驗證用戶的簡單方法

以太坊登錄很快就會成為用戶標準，不再需要密碼，這已經不是什么新鮮事了。盡管如此，dApp開發仍然是一個相當新的賽道，其開發的許多標準仍在設定之中。

國際貨幣基金組織：長遠來看加密禁令可能并不有效:6月23日消息，國際貨幣基金組織（IMF）撰文稱，加密資產存在的風險因國家或地區而異。央行數字貨幣（CBDC）如果設計得當，可以降低匯款成本并改善金融包容性。另外，加密資產的采用也帶來了許多挑戰和風險，特別是對于宏觀經濟不穩定、機構可信度低、資本流動量大、腐敗和非正規部門的拉丁美洲和加勒比國家而言。雖然一些國家已經完全禁止加密資產，但從長遠來看，這種方法可能并不有效。相反，這些地區應該專注于解決加密需求的驅動因素，包括數字支付需求，并通過在國家統計數據中記錄加密資產交易來提高透明度。[2023/6/23 21:56:11]

現在，所有的開發者都在延續用傳統做法編寫dApp，本能地使用相同的JWT進行認證。我這里提出一個稍微不同的方法。

日本數字廳Web3研究小組將建立DAO:金色財經報道，日本數字機構在11月2日的第五屆Web 3.0研究小組會議上宣布建立自己的DAO（去中心化的自治組織）。會議還討論了加密資產、DeFi、NFT、DAO和元宇宙與Web 3有關的優勢和風險以及問題。 有人建議，應采取基于\"Web 3.0的未來愿景”的方法，面對當前的系統，研究應如何改變它以實現這一愿景。此外，該小組計劃 研究賦予DAO法人地位的立法措施的好處和挑戰。[2022/11/3 12:13:01]

我自己也開始使用JWT開發dApp。從第一個項目開始，我就覺得認證總是變得很棘手，而且在這個過程中一定有些多余的東西。在幾個項目之后，我意識到JWT本身就是多余的。讓我解釋一下原因：

騰訊區塊鏈通過信通院第七批“可信區塊鏈評測”全部評測項目:金色財經獲悉，7月14日，騰訊區塊鏈通過了中國信息通信研究院第七批“可信區塊鏈評測”全部評測項目。本批評測，騰訊區塊鏈是唯一一家在區塊鏈平臺功能評測、安全評測中通過全部評測項的廠商。共通過了53項區塊鏈平臺功能測試和31項區塊鏈安全專項測試。覆蓋了區塊鏈功能、性能、安全、BaaS、密碼、存證應用、政務應用等多個類型。其中騰訊區塊鏈TrustSQL新引擎V2首次參與評測。由北京大學、北京郵電大學、中國科學院信息工程研究所、中央財經大學等單位歷經4個月參與評審。[2022/7/14 2:13:08]

這張圖顯示了我在前幾個項目中是如何進行認證的。這里的方案幾乎完全復制了JWT的標準程序，唯一的一點是，用戶發送的不是登錄和密碼，而是簽名。

為什么我們需要得到JWT呢？畢竟，即使沒有它，你也可以通過從用戶的簽名中獲取地址來可靠地識別身份。

下面是如何簡化的：

使用web3-token的認證流程

用戶依舊會產生一個簽名，但里面有了一個過期日期，所以即便攻擊者得到了這個簽名，也持續不了多久。此外，簽名被放在標準的授權頭中，并在服務器上通過獲取用戶的地址和在數據庫中找到用戶來處理。這就是全部。你不需要在服務器上不斷地更新JWT的加密密鑰，所以通常來說，服務器承擔了絕大部分職責。

為了進一步簡化這一流程，我制作了web3-token模塊。要安裝它，請使用以下命令。

1$npmiweb3-token

這個模塊既可以用在服務器上，也可以用在客戶端。

讓我們看一個例子，從客戶端開始：

調用.sign方法后，你會看到與此類似的東西。

MetaMask提醒去簽署令牌

正如你所看到的，該信息對用戶來說是完全透明的，因為他們必須看到他們正在簽署的東西。因此，我決定不使用JSON結構來提高可讀性，而是使用與HTTP頭相同的結構。

在消息的正文中，我們可以看到令牌的版本和過期日期。

接下來，這里是后端對這個令牌的處理。

這很簡單，只有一行，模塊會處理所有加密問題。我們則可以從簽名中獲得用戶的地址，并使用這個地址在數據庫中找到他們。舉個例子，然后你就可以通過他的地址授予這個用戶一個NFT。

最終我們得到了一個非常方便的無狀態用戶認證方法，這也是混合型dApp的理想選擇。唯一的缺點是，它很難在Postman中測試。

本文來自比推Bitpush.News，星球日報經授權轉載。

Tags：區塊鏈WEBWEB3KEN區塊鏈技術是什么CWEB價格web3.0幣種imtoken被盜報警有用嗎

FIL