JSON Web Token (JWT) adalah token yang ringkas, aman untuk URL, dan mandiri (self-contained) yang membawa claim tentang seorang pengguna. Server menandatanganinya sekali; setelahnya ia dapat memverifikasi token pada setiap request tanpa lookup database — itulah yang membuat autentikasi berbasis JWT bersifat stateless.
Sebuah JWT adalah , tiga segmen ter-encode base64url yang disambung dengan titik:
header.payload.signatureeyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 ← header
.eyJzdWIiOiIxMjMiLCJleHAiOjE3MDB9 ← payload (claims)
.dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1 ← signature
{ "alg": "HS256", "typ": "JWT" }.sub (subject/user id), exp (kedaluwarsa), iat (waktu terbit), iss (issuer), ditambah field kustom apa pun (role, email).Payload di-encode, bukan dienkripsi. Siapa pun bisa mem-base64-decode dan membacanya, jadi jangan pernah menaruh kata sandi atau secret di dalam JWT.
signature = HMAC-SHA256(
base64url(header) + "." + base64url(payload),
secret
)
Pada setiap request, server menghitung ulang signature atas header+payload yang diterima lalu membandingkannya. Jika cocok dan exp masih di masa depan, token dipercaya — tanpa perlu penyimpanan sesi.
const jwt = require("jsonwebtoken");
const token = jwt.sign({ sub: "123", role: "admin" }, SECRET, {
expiresIn: "15m",
});
try {
const claims = jwt.verify(token, SECRET); // melempar error jika diubah atau kedaluwarsa
// claims.sub === "123"
} catch (e) {
// tolak: tidak valid atau kedaluwarsa
}
Karena verifikasi bersifat stateless, Anda tidak bisa membatalkan token sebelum kedaluwarsa hanya dengan "menghapusnya" di sisi server. Mitigasi umum:
jti) untuk logout/kompromi — ini memasukkan kembali sedikit state.| Penyimpanan | Kelebihan | Kekurangan |
|---|---|---|
Cookie httpOnly | Tidak terbaca oleh JS (lebih aman dari XSS) | Perlu proteksi CSRF |
localStorage | Sederhana, tanpa CSRF | Terekspos ke XSS |
JWT menggerakkan autentikasi stateless di seluruh API, microservice, dan SPA — sebuah layanan bisa memercayai sebuah request hanya dengan memverifikasi signature, tanpa penyimpanan sesi bersama. Tetapi kestatelesan yang sama itu adalah jebakan wawancara klasik: token tidak mudah dicabut, payload terbaca, dan kebingungan alg atau lupanya pemeriksaan kedaluwarsa adalah kerentanan nyata. Mengetahui persis apa yang dilindungi signature, dan apa yang tidak, sangat penting untuk memakai JWT dengan aman.
Perpustakaan pertanyaan wawancara IT dengan jawaban mendetail — dari Junior hingga Senior.
Donasi