JSON Web Token (JWT) kompaktan je, siguran za URL, samostalan token koji nosi tvrdnje (claims) o korisniku. Server ga potpiše jednom; nakon toga može verificirati token pri svakom zahtjevu bez upita u bazu podataka — upravo to čini autentifikaciju temeljenu na JWT-u bezstatusnom (stateless).
JWT je header.payload.signature, tri base64url-kodirana segmenta spojena točkama:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 ← header
.eyJzdWIiOiIxMjMiLCJleHAiOjE3MDB9 ← payload (tvrdnje)
.dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1 ← signature
{ "alg": "HS256", "typ": "JWT" }.sub (subject/id korisnika), exp (istek), iat (izdano u), iss (izdavatelj), uz bilo koja prilagođena polja (role, email).Payload je kodiran, ne šifriran. Bilo tko ga može base64-dekodirati i pročitati, pa nikad ne stavljaj lozinke ili tajne u JWT.
signature = HMAC-SHA256(
base64url(header) + "." + base64url(payload),
secret
)
Pri svakom zahtjevu server ponovno izračuna potpis nad primljenim header+payload i uspoređuje ga. Ako se podudaraju i exp je u budućnosti, tokenu se vjeruje — nije potreban session store.
const jwt = require("jsonwebtoken");
const token = jwt.sign({ sub: "123", role: "admin" }, SECRET, {
expiresIn: "15m",
});
try {
const claims = jwt.verify(token, SECRET); // baca grešku ako je izmijenjen ili istekao
// claims.sub === "123"
} catch (e) {
// odbaci: nevažeći ili istekao
}
Budući da je verifikacija bezstatusna, ne možeš poništiti token prije njegova isteka samo tako da ga "izbrišeš" na strani servera. Uobičajene mjere ublažavanja:
jti) za odjavu/kompromitaciju — time se vraća malo stanja.| Pohrana | Prednost | Nedostatak |
|---|---|---|
httpOnly kolačić | JS ga ne može čitati (sigurniji od XSS-a) | Treba zaštitu od CSRF-a |
localStorage | Jednostavno, bez CSRF-a | Izloženo XSS-u |
JWT-ovi pokreću bezstatusnu autentifikaciju kroz API-je, mikroservise i SPA-ove — usluga može vjerovati zahtjevu samo verificiranjem potpisa, bez zajedničkog session storea. Ali upravo ta bezstatusnost klasična je zamka na razgovoru: tokeni se ne mogu lako opozvati, payload je čitljiv, a zbrka oko alg ili nedostatak provjere isteka stvarne su ranjivosti. Točno znati što potpis štiti, a što ne, ključno je za sigurno korištenje JWT-ova.
Knjižnica IT pitanja za razgovore za posao s detaljnim odgovorima — od Juniora do Seniora.
Doniraj