JSON Web Token (JWT) je kompaktní, URL-bezpečný, soběstačný token, který nese claims o uživateli. Server ho jednou podepíše; poté může token ověřit při každém požadavku bez dotazu do databáze — právě to dělá autentizaci založenou na JWT stateless.
JWT je header.payload.signature, tři base64url-kódované segmenty spojené tečkami:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 ← header
.eyJzdWIiOiIxMjMiLCJleHAiOjE3MDB9 ← payload (claims)
.dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1 ← signature
{ "alg": "HS256", "typ": "JWT" }.sub (subject/user id), exp (expirace), iat (vydáno v), iss (vydavatel), plus libovolná vlastní pole (role, email).Payload je zakódovaný, nikoli zašifrovaný. Kdokoli ho může base64-dekódovat a přečíst, takže do JWT nikdy nedávej hesla ani tajemství.
signature = HMAC-SHA256(
base64url(header) + "." + base64url(payload),
secret
)
Při každém požadavku server přepočítá signature nad přijatým header+payload a porovná ji. Pokud se shodují a exp je v budoucnosti, tokenu se důvěřuje — žádné úložiště sessions není potřeba.
const jwt = require("jsonwebtoken");
const token = jwt.sign({ sub: "123", role: "admin" }, SECRET, {
expiresIn: "15m",
});
try {
const claims = jwt.verify(token, SECRET); // vyhodí výjimku, pokud byl pozměněn nebo vypršel
// claims.sub === "123"
} catch (e) {
// odmítni: neplatný nebo vypršelý
}
Protože je ověření stateless, nemůžeš token zneplatnit před jeho expirací pouhým „smazáním“ na straně serveru. Běžná zmírnění:
jti) pro odhlášení/kompromitaci — to zpět zavádí trochu stavu.| Úložiště | Výhoda | Nevýhoda |
|---|---|---|
Cookie httpOnly | Nečitelné pro JS (bezpečnější vůči XSS) | Vyžaduje ochranu proti CSRF |
localStorage | Jednoduché, bez CSRF | Vystaveno XSS |
JWT pohánějí stateless autentizaci napříč API, mikroslužbami a SPA — služba může požadavku důvěřovat pouhým ověřením podpisu, bez sdíleného úložiště sessions. Ale právě tato bezstavovost je klasickou pastí na pohovoru: tokeny nelze snadno odvolat, payload je čitelný a záměna alg nebo chybějící kontrola expirace jsou skutečné zranitelnosti. Vědět přesně, co podpis chrání a co ne, je zásadní pro bezpečné používání JWT.
Knihovna IT otázek k pohovoru s podrobnými odpověďmi — od Junior po Senior.
Přispět