BearerToken を使用するメリットとは？

Question

BearerTokenでの認証フローは

１．ID、パスワードをサーバーに送信
２．サーバーからTokenが返ってくる
３．Tokenを使用して、WebApiを使用する

となりますが

１．ID、パスワードを使用してWebApiを使用する

と比べてメリットはどんなことがあるのでしょうか？

Answer 1

いくつかの理由があります。

• 外部のAPIに対して利用者のパスワードを知らせることなく認可ができる
• パスワードを頻繁にやり取りすることによる漏洩リスクの緩和
• パスワードの検証は重たい処理であるのに対してトークン(JWT)の検証は軽量である

パスワードの検証が重たい処理という理由は、パスワードがストレッチング付きで保存されている場合を想定しています。パスワードが平文保存されている場合はパスワード検証は軽くなりますが、セキュリティ上の理由で推奨されません。