JWT là gì? Cơ chế hoạt động, cấu trúc và khi nào nên sử dụng

Khi nhu cầu xác thực nhanh, bảo mật và dễ mở rộng tăng cao, JWT trở thành lựa chọn phổ biến thay thế cho session truyền thống. Viettel IDC sẽ giúp bạn hiểu rõ JWT là gì, cơ chế hoạt động, cấu trúc JWT và cách áp dụng đúng trong từng trường hợp thực tế.

JWT là gì?

JWT (JSON Web Token) là một chuẩn mở được định nghĩa trong RFC 7519, dùng để truyền tải thông tin giữa các bên dưới dạng JSON một cách an toàn và có thể xác minh. Thông tin này được mã hóa thành một chuỗi token và thường được sử dụng trong các hệ thống xác thực người dùng (authentication) và phân quyền (authorization). Về bản chất, JWT là một “tấm vé điện tử” giúp hệ thống xác định bạn là ai và bạn có quyền làm gì, mà không cần phải lưu trữ session trên server.

Jwt hoạt động như thế nào?

JWT hoạt động theo cơ chế xác thực không trạng thái (stateless), nghĩa là server không cần lưu thông tin phiên đăng nhập của người dùng. Thay vào đó, toàn bộ dữ liệu xác thực đã được đóng gói bên trong token và được gửi kèm trong mỗi request. Nhờ vậy, hệ thống có thể xác minh người dùng một cách nhanh chóng mà không cần truy vấn database liên tục, giúp tăng hiệu năng và dễ dàng mở rộng trong các kiến trúc hiện đại như API hay microservices.

Quy trình hoạt động (Xác thực không trạng thái - Stateless):

- Đăng nhập: Người dùng gửi thông tin (Username/Password) đến Server

- Tạo Token: Server xác thực thông tin, tạo JWT (chứa thông tin người dùng và ký số) rồi gửi về Client

- Lưu trữ: Client lưu JWT (trong localStorage, sessionStorage, hoặc Cookie)

- Gửi yêu cầu: Trong các yêu cầu API sau, Client đính kèm JWT vào header Authorization: Bearer <token>

- Xác thực: Server giải mã và kiểm tra chữ ký của JWT (không cần truy vấn database), nếu hợp lệ thì xử lý yêu cầu

Cấu trúc JWT là gì?

JWT có cấu trúc gồm 3 phần chính, được mã hóa và nối với nhau bằng dấu chấm (.). Mỗi phần đảm nhiệm một vai trò riêng, giúp token vừa chứa thông tin vừa đảm bảo tính toàn vẹn khi truyền tải.

Header

Header đóng vai trò mô tả loại token và thuật toán được sử dụng để ký. Đây là bước đầu tiên giúp hệ thống hiểu cách xác minh JWT.

Ví dụ:

Trong trường hợp này, typ cho biết đây là JWT, còn alg sử dụng thuật toán HS512 (một biến thể mạnh hơn của HS256). Sau khi được định nghĩa, phần Header sẽ được encode sang Base64URL để tạo thành chuỗi:

Payload

Payload là nơi chứa dữ liệu mà hệ thống muốn truyền đi, thường là thông tin định danh và quyền hạn của người dùng.

Ví dụ:

Sau khi encode, ta sẽ có dạng:

Phần Payload giúp server biết người dùng là ai và có quyền gì. Tuy nhiên, vì dữ liệu chỉ được encode chứ không mã hóa hoàn toàn, nên không nên đặt thông tin nhạy cảm như mật khẩu hoặc dữ liệu tài chính vào đây.

Signature

Signature là lớp bảo vệ cuối cùng, giúp đảm bảo nội dung JWT không bị thay đổi trong quá trình truyền tải.

Cách tạo chữ ký có thể hiểu đơn giản như sau:

Sau khi ký, ta sẽ thu được một chuỗi signature như:

Nếu bất kỳ phần nào trong Header hoặc Payload bị thay đổi, chữ ký này sẽ không còn hợp lệ và server sẽ từ chối token.

JWT hoàn chỉnh

Khi ghép cả 3 phần lại, ta sẽ có một JWT hoàn chỉnh. Đây chính là chuỗi token mà client sẽ gửi kèm trong mỗi request để server xác thực.

JWT dùng để làm gì? Khi nào nên sử dụng?

JWT được sử dụng chủ yếu trong các bài toán xác thực và phân quyền trong hệ thống hiện đại, đặc biệt là web app, mobile app và API. Sau khi người dùng đăng nhập, JWT đóng vai trò như một thông tin định danh để server nhận biết người dùng ở các request tiếp theo mà không cần lưu session. Nhờ cơ chế stateless, JWT giúp giảm tải backend, tăng tốc độ xử lý và dễ dàng mở rộng hệ thống. Ngoài ra, JWT còn được dùng để bảo vệ API, kiểm soát quyền truy cập theo vai trò và hỗ trợ xác thực giữa các service trong kiến trúc microservices.

JWT nên được sử dụng trong các trường hợp:

- Xây dựng hệ thống API hoặc SPA như React, Vue, Angular cần xác thực nhanh

- Ứng dụng mobile hoặc frontend tách biệt backend

- Hệ thống cần mở rộng mà không muốn lưu session trên server

- Kiến trúc microservices cần xác thực giữa nhiều service

- Muốn giảm tải database và tối ưu hiệu năng xử lý request

Không nên dùng JWT khi:

- Hệ thống nhỏ, không cần tối ưu hiệu năng

- Cần thu hồi quyền truy cập ngay lập tức

- Có nhu cầu lưu dữ liệu nhạy cảm trực tiếp trong token

FAQs - Câu hỏi liên quan

So sánh JWT và Session khác gì nhau?

JWT và Session là hai cách phổ biến để xác thực người dùng trong hệ thống web, nhưng chúng hoạt động theo hai cơ chế hoàn toàn khác nhau. JWT dựa trên mô hình stateless, nơi thông tin người dùng được lưu trực tiếp trong token, còn Session là stateful khi server phải lưu trữ dữ liệu phiên đăng nhập. Sự khác biệt này ảnh hưởng trực tiếp đến hiệu năng, khả năng mở rộng và cách triển khai hệ thống.

OAuth2 và JWT khác nhau như thế nào?

Khi tìm hiểu về xác thực hiện đại, nhiều người thường nhầm lẫn giữa JWT và OAuth2. Thực tế, đây là hai khái niệm hoàn toàn khác nhau nhưng thường được sử dụng cùng nhau trong hệ thống. Nếu JWT là một định dạng token dùng để truyền dữ liệu an toàn, thì OAuth2 lại là một giao thức ủy quyền giúp ứng dụng truy cập tài nguyên thay mặt người dùng. Nói cách khác, để hiểu rõ OAuth2 là gì, bạn cần hình dung đây là cơ chế cấp quyền truy cập, còn JWT chỉ là công cụ có thể được dùng trong quá trình đó.

Bảng so sánh OAuth2 vs JWT

Kết luận

JWT là một giải pháp xác thực phù hợp với các hệ thống web hiện đại nhờ khả năng hoạt động stateless, giúp giảm tải server và tăng hiệu năng xử lý. Khi nắm rõ JWT là gì, cơ chế hoạt động, cấu trúc và cách triển khai, bạn có thể áp dụng hiệu quả trong API, SPA hoặc mobile app.