Introdução

Por que uma JWT é necessária?

Figura 1: Implementação do JWT no complemento ASAP

• Ponto final do JWT
  
• Segredo da JWT
  
  

import io.jsonwebtoken.SignatureAlgorithm;

import javax.crypto.spec.SecretKeySpec;

import java.security.Key;

import io.jsonwebtoken.JwtBuilder;

import io.jsonwebtoken.Jwts;

import java.io.UnsupportedEncodingException;

 

 

public static String generateJwt (String userToken) lança o UnsupportedEncodingException {

 String secretKey = ""; // Esse valor será dado quando o complemento for criado. Em seguida, substitua o valor fornecido aqui

long notBeforeMillis = System.currentTimeMillis ();

long notAfterMillis = notBeforeMillis + 300000;

 

SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;

 

byte [] apiKeySecretBytes = secretKey.getBytes ();

Key signingKey = new SecretKeySpec (apiKeySecretBytes, signatureAlgorithm.getJcaName ());

 

Construtor JwtBuilder = Jwts.builder (). SignWith (signatureAlgorithm, signingKey);

 

String jwt = builder.claim ("email_verified", true)

.claim ("not_after", notAfterMillis)

.claim ("not_before", notBeforeMillis)

.claim ("email", <user_email_address_from_user_token>). compact ();

return jwt;

}  

• userToken é um parâmetro de entrada que considera o token do usuário recebido do aplicativo. Este parâmetro carrega os detalhes do usuário logado no aplicativo. Portanto, verifique se o token do usuário está criptografado quando é enviado do aplicativo para o servidor IAM do Zoho e, em seguida, para o endpoint do JWT. É no ponto de extremidade do JWT que o token do usuário deve ser descriptografado e verificado quanto à sua autenticidade. 
  
• O  parâmetro email retorna o endereço de email do usuário. 
  
• O  parâmetro email_verified é um parâmetro booleano que retorna se o endereço de e-mail é verificado ou não e, subsequentemente, envia o token OAuth para o complemento ASAP. 
  
• Os  not_before e  not_after parâmetros definem a duração após a qual o JWT expira. O valor desses parâmetros deve estar no formato Tempo Universal Coordenado (UTC) e ser expresso em milissegundos. 
  
• Para garantir uma segurança forte, certifique-se de que a diferença de tempo entre os parâmetros not_before e not_after não exceda 600000 milissegundos (10 minutos). 
  

Como funciona um JWT?

• se o token do usuário for inválido, a resposta do JWT será enviada de volta com o valor doparâmetro email_verified configurado como false
  
• Se o servidor IAM receber uma resposta válida do JWT, ele enviará o token OAuth2 que finalmente considera o usuário final como um usuário do portal de suporte técnico. 
  

Pontos-chave para lembrar

• Você pode alterar o URL do JWT a qualquer momento na página de configuração. 
  
• O URL deve incluir um parâmetro chamado "user_token" para passar as informações do usuário para o servidor JWT. 
  
• A resposta do JWT deve ser retornada como uma cadeia simples. 
  
• A resposta do JWT deve conter os  parâmetros email ,  email_verified ,  not_before e  not_after .
  
• Uma mudança no tempo de servidor de aplicativo pode afetar os valores definidos para a not_before e  not_after params. Portanto, certifique-se de modificar o código JWT também quando a hora do servidor de aplicativos for alterada.  
  
• Atualmente, apenas o algoritmo HMACSHA256 é suportado para assinatura.