JSON Web Token (JWT) on kompakti, URL-turvallinen, itsenäinen token, joka kantaa väittämiä (claim) käyttäjästä. Palvelin allekirjoittaa sen kerran; sen jälkeen se voi varmentaa tokenin jokaisella pyynnöllä ilman tietokantahakua — juuri se tekee JWT-pohjaisesta todennuksesta tilattoman (stateless).
JWT on , kolme base64url-koodattua segmenttiä pisteillä yhdistettynä:
header.payload.signatureeyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 ← header
.eyJzdWIiOiIxMjMiLCJleHAiOjE3MDB9 ← payload (väittämät)
.dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1 ← signature
{ "alg": "HS256", "typ": "JWT" }.sub (subject/käyttäjän id), exp (vanheneminen), iat (myönnetty-hetki), iss (myöntäjä), sekä mahdolliset omat kentät (role, email).Payload on koodattu, ei salattu. Kuka tahansa voi base64-purkaa ja lukea sen, joten älä koskaan laita salasanoja tai salaisuuksia JWT:hen.
signature = HMAC-SHA256(
base64url(header) + "." + base64url(payload),
secret
)
Jokaisella pyynnöllä palvelin laskee allekirjoituksen uudelleen vastaanotetun header+payload:n yli ja vertaa sitä. Jos ne täsmäävät ja exp on tulevaisuudessa, tokeniin luotetaan — session-varastoa ei tarvita.
const jwt = require("jsonwebtoken");
const token = jwt.sign({ sub: "123", role: "admin" }, SECRET, {
expiresIn: "15m",
});
try {
const claims = jwt.verify(token, SECRET); // heittää virheen jos peukaloitu tai vanhentunut
// claims.sub === "123"
} catch (e) {
// hylkää: virheellinen tai vanhentunut
}
Koska varmennus on tilaton, et voi mitätöidä tokenia ennen sen vanhenemista pelkästään "poistamalla" sen palvelimen puolella. Yleiset lievennykset:
jti) uloskirjautumista/vaarantumista varten — tämä tuo hieman tilaa takaisin.| Tallennus | Etu | Haitta |
|---|---|---|
httpOnly-eväste | JS ei voi lukea (turvallisempi XSS:ää vastaan) | Vaatii CSRF-suojauksen |
localStorage | Yksinkertainen, ei CSRF:ää | Altis XSS:lle |
JWT:t antavat voiman tilattomalle todennukselle API:en, mikropalveluiden ja SPA:iden yli — palvelu voi luottaa pyyntöön pelkästään allekirjoituksen varmentamalla, ilman jaettua session-varastoa. Mutta juuri tuo tilattomuus on klassinen haastattelun ansa: tokeneita ei voi helposti peruuttaa, payload on luettavissa, ja alg-sekaannus tai puuttuva vanhenemisen tarkistus ovat todellisia haavoittuvuuksia. Sen tietäminen tarkalleen, mitä allekirjoitus suojaa ja mitä ei, on olennaista JWT:iden turvalliseen käyttöön.
Kirjasto IT-haastattelukysymyksiä yksityiskohtaisine vastauksineen — Juniorista Senioriin.
Lahjoita