JWE和JWS，他们是“无国籍”的吗？

Question

最近我读了一些关于JWT/JWS和JWE的文章。。然而我仍然不明白的一点是，我很确定我在某个地方读到过，他们都应该是“无国籍的”，这是真的吗？我的看法是，JWS和JWE需要“收单机构”和“发卡机构”之间共享一个秘密，才能解密有效载荷（以及CEK等等，不取决于JWS或JWE）。所以我的问题是。。JWS和JWE真的是无国籍的吗？如果是这样的话，那么我们为什么不需要在“收单机构”和“发卡机构”之间存储秘密呢？或者这个孩子是用来从数据库中获取我们的秘密来解密有效载荷和/或CEK的？

为了澄清，当使用JWS和/或JWE解密和加密令牌时，发行方和收购方之间是否存在共享秘密？这个秘密是否存储在发行者的数据库中，以便能够解密有效载荷和/或CEK，或者秘密/密钥用于解密和加密以其他方式共享？

这个问题基于以下关于JWT、JWS和JWE的文章：https://medium.facilelogin.com/jwt-jws-and-jwe-for-not-so-dummies-b63310d201a3

Answer 1

你是对的：根据你的应用程序，它可能是有状态的。在我看来，你可以区分两种情况：

1. 您的应用程序发出JWE或接收JWS

对于第一个用例，可以使用发行者公钥检查JWS签名。这些密钥（广义地说）由发行人与各方共享（这是谷歌和其他当局所做的）。当您想要加密一个令牌（JWE）给那个接收者时，情况也是如此：您将使用它的公钥。

对于另一个用例，您的应用程序将需要使用私钥访问密钥集。这些密钥必须存储在某个地方（一个DB、一个环境变量…）。

当使用共享密钥时（很少与第三方一起使用），您可能处于用例#2中，因为发行者和接收者都必须管理共享密钥。