使用JWT的基於角色的Rest-API

Question

我正在用jax-rs在Java中實現一個簡單的Rest-API。 我使用JWT和ContainerRequestFilter來驗證用戶是否已登錄。

現在，我希望能夠處理不同的角色。 將用戶角色存儲在JWT（聲明）中並完全信任它可以授予端點訪問權限還是可以的？

如果不是，實現此目標的最佳方法是什么？

謝謝您的幫助

Answer 1

將用戶角色存儲在JWT（聲明）中並完全信任它可以授予端點訪問權限還是可以的？

是的，那應該沒問題。 只要確保JWT令牌已正確簽名 ，就可以確保沒有人可以更改該令牌並為其分配高特權角色。