Architecture · JWT
Một khoá ký token, cùng khoá đó kiểm token
Phát hành và xác thực JWT
Endpoint đăng nhập gọi TokenService ký access token bằng khoá bí mật; ở mỗi request JwtBearer handler dùng cùng khoá kiểm chữ ký, thuật toán, issuer, audience và hạn, hợp lệ thì gán HttpContext.User, sai thì trả 401.
ĐĂNG NHẬP
CLAIMS
ACCESS TOKEN
KÝ
KIỂM
BEARER TOKEN
HỢP LỆ
SAI
Client
SPA · mobile
Endpoint đăng nhập
[AllowAnonymous] · rate limit
TokenService
HS256 · sub, jti, iat, role
Khoá ký bí mật
SymmetricSecurityKey
biến môi trường / Key Vault
JwtBearer handler
chữ ký · alg · iss · aud
exp ± ClockSkew 30s
[Authorize] action
HttpContext.User
401 Unauthorized
token sai / hết hạn
Server không lưu token:
hợp lệ tới khi hết exp,
không thu hồi được.
CHÚ GIẢI
Khoá dùng chung
Thành phần
Kết quả
Trả token về client
© tiennhm