A fresher developer logs in to a web app and receives a JWT from the server. Inspecting it in the browser console, they see a string like `eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjMiLCJyb2xlIjoiYWRtaW4ifQ.4pK...`. They decode the middle part with an online tool and are surprised to read the role claim in plain text. What is the correct conclusion about a standard signed JWT (JWS)?

Question

Accepted Answer

JWT chuẩn dạng JWS gồm header.payload.signature, trong đó header và payload chỉ được Base64Url-encode (mã hoá dạng biểu diễn, không phải mã hoá bảo mật), nên ai có token đều đọc được claims; chữ ký chỉ đảm bảo tính toàn vẹn và xác thực nguồn gốc. B sai vì JWS không mã hoá payload (muốn mã hoá phải dùng JWE). C sai vì HS256 và RS256 chỉ khác nhau ở thuật toán ký (đối xứng vs bất đối xứng), không làm payload bị ẩn đi. D sai vì Same-Origin Policy không ngăn token bị rò rỉ qua log, XSS hay các kênh khác.

Câu hỏi hôm nay